BLACK BERRY JAM 



Blackberry 7290 - 
des JTAC- Rätsels Lösung 




Unser hochgeschätzter Leser Hunz hat sich des 
Blackberry-Testpunkt-Rätsels aus der letzten 
Datenschleuder angenommen und es erfolg- 
reich gelöst. Detaillierte Forschungsergebnisse 
zum JTAG am Blackberry 7290 gibt es unter 



Die große Anzahl vorhandener Testpunk- 
te machte ein manuelles Durchprobieren eher 
unattraktiv. Um das Rätsel zu lösen, entstand 
ein automatisierter JTAG -Finder, der das Pro- 
blem der vielen Testpunkte auf moderner Mobil- 
elektronik systematisch angeht. Die Prinzipien 
des JTAG -Finder-Projekts werden auf Seite 20 
dieser Ausgabe der Datenschleuder erläutert. 
Ausführliche Doku und mehr JTAG-Pinouts 
von verschiedenen Geräten, die mit Hilfe des 
Finders gefunden wurden, gibt es unter 



http://www.c3a.de/wiki /index. php/ Image: Bberry-7290.jpg http://www.c3a.de/wiki/index.php/JTAG_Finder 
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GELEITWORT / INHALT 



Ein Licht am Ende des Tunnels macht Mut. 
Man weiß zwar nicht, ob es vielleicht doch nur 
der entgegenkommende Zug ist, aber es gibt 
zumindest so etwas ähnliches wie Hoffnung. 
Die Gerichte erweisen sich als unsere letz- 
te Hoffnung bei der Zähmung marodierender 
Problem Politiker. 

Der Europäische Gerichtshof erklärt die Über- 
gabe der Flugpassagierdaten an die USA für 
illegal, das OLG Frankfurt befindet, „Online- 
Demonstrationen" seien keine Gewalt. Das Bun- 
desverfassungsgericht kippt das Gesetz zum 
Abschuß vollbesetzter Passagiermaschinen und 
die Rasterfahndung. Und das OLG Düsseldorf 
entschärft das Risiko für Betreiber von Internet- 
Foren. Es scheint, als ob der Rechtsstaat noch 
ein bißchen funktionierte. Die nicht geführte 
gesellschaftliche Debatte über die Balance zwi- 
schen „Sicherheit" und individuellen Freiheiten 
wird hilfsweise durch Gerichtsurteile ersetzt. 

SchadPolitiker aller Couleur finden, daß diese 
aufsässigen Richter sich gefälligst aus dem All- 
tagsbetrieb der Demokratur heraushalten sol- 
len. Flugpassagierdaten werden weiter über- 
mittelt, weil die USA sonst einseitig mit dem 
Entzug der Landerechte drohen. Die angemes- 
sene Antwort darauf wäre die Drohung mit 
einer Sperre für US -Fluggesellschaften, analog 
zu den beliebten USA-EU-Handelskriegen. 

Unser Kriegsminister schwadroniert derart 
vom übergesetzlichen Passagiermaschinen- 
Abschuß-Notstand. Es stellt sich die Frage, 
warum er nicht vom Verfassungsschutz beob- 
achtet wird. Es ist nun also Bürgerpflicht, die 
Umsetzung von Gerichtsurteilen durchzuset- 
zen. Als Schmankerl soll die Bundeswehr ganz 
offiziell die Aufgabe erhalten, uns gelegentlich 
einen schönen neuen Strand dazuzuerobern, 
vorzugsweise mit ein paar ergiebigen Ölquellen. 
Da kommt doch Freude auf. 

Der Mangel an Respekt der Regierenden vor den 
Grundpfeilern der Gesellschaft zwingt wohl 
oder übel dazu, sich mit den Basics der Demo- 
kratie zu befassen. Mit „Sicherheitsüberprüfun- 
gen" von Hobbypiloten und WM -Würstchenver- 
käufern wird eine Kultur der Furcht etabliert, 



die politsche Opposition schnell zur „feindlich- 
negativen Grundeinstellung" stempelt, die dis- 
kriminiert werden muss. Wahlmaschinen gehö- 
ren ganz sicher auf unsere Zielliste für dieses 
Jahr. Wenn wir diese PolitikerProblemFälle 
irgendwann wieder loswerden wollen, dürfen 
sie nicht die Gelegenheit erhalten, sich auch 
noch die Wahlen unter Machterhaltsgesichts- 
punkten zu „optimieren". 

In diesem Sinne wünscht die Redaktion unse- 
ren Lesern einen hackfreudigen Sommer. 
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Dear Datenschleuder, 

in der Ausgabe 87, die ich ansonsten sehr infor- 
mativ fand, hat mich die Seite 35 sehr verärgert. 
Beim meist zum Scheitern verurteilten Versuch, 
kapitalistische Prozesse zu visualisieren, wähl- 
tet Ihr ausgerechnet eine Heuschrecke, hippes 
Symbol für die bösen Kapitalisten und Aktien- 
gesellschaften, die plagenmäßig alles leerfres- 
sen würden. 

Dafür, dass ihr ansonsten gern genauer hin- 
schaut wie die Dinge funktionieren, ist das ein 
ärgerlicher Bezug auf eine populäre wie popu- 
listische, oberflächliche und gar gefährliche 
Sicht auf das Funktionieren der Verhältnisse. 
Ich habe mal ein wenig herumgesucht, ob ich 
was kurzes finde, in dem dazu einige Aspek- 
te drinstehen, ihr könnt bei Interesse ja mal 
hier drauf schauen: http://www.jungle-world.com/ 
seiten/2005/20/5517.php <Sascha> 

Beschwer Dich hei Münte! - Nein, im Ernst: Du 
argumentierst mit ein paar Totschlagargumen- 
ten, die Dir genausowenig gut anstehen, wie der 
Gehrauch der Parabel, die Du uns vorwirfst. Allein 
daraus, daß die Heuschreckenmetapher holzham- 
mermäßig gegen alle Kapitalisten gehraucht wird, 
kann man nicht ableiten, daß dieses Bild nicht doch 
vereinzelt zutrifft. 

Unseres Erachtens gibt es eine zentrale kritische 
Infrastruktur, zu der neben Geld, Wasser, Strom, 
Straßen und Netzwerk natürlich auch Identifikati- 
onskarten gehören, die nicht wie andere Geschäfts- 
felder dem freien Spiel des Marktes überlassen wer- 
den dürfen. Zuweilen müssen dort langfristige und 
nicht immer lohnende Investitionen getätigt wer- 
den, Entscheidungen, die der Markt nicht zwin- 
gend goutiert. 

Eine Privatisierung dieses Geschäfts, mit dem 
immamenten Versprechen, nicht pleite gehen zu 
können (schließlich geht es um eine kritische Infra- 
struktur), lockt nun genau die Finanzinvestoren 
an, die man auch ohne schlechtes Gewissen als Heu- 
schrecken beschimpfen kann. Mit Unterstützung 
der Politik werden ihnen nun per Dekret Zwangs- 
umsätze zugeschachert. <erdgeist> 



Sinn der ganzen Sache 

Moin, ich habe da mal so eine Frage. Man hoert 
immer, dass ein Hacker wieder ein System 
gehackt hat oder aehnliches. 

Ich höre sowas zwar eher selten, kann aber ein- 
fach damit zu tun haben, daß ich nicht wirklich in 
Script-Kiddie-Kreisen verkehre. Was hört man denn 
da zum Beispiel so? 

Macht ihr das aus freien Stuecken, gibt euch 
jemand einen Auftrag, oder macht ihr das aus 
Spass-das ist natuerlich immer dabei, klar-um 
es allen zu demonstrieren, das es nicht sicher 
ist. 

Ahm, was meinst Du genau mit "das"? Und nein, 
Aufträge zur "Prüfung" bestimmter Systeme über- 
nimmt der CCC nicht, warum, steht sogar auf unse- 
rer der Website. 

Wenn ihr soetwas nicht ankuendigt, habt ihr 
dann schon mal etwas auf die Muetze bekom- 
men, oder sagen alle, toll danke, da muessen wir 
wohl mal was tun. 

Was tut ihr? 

Das wissen wir leider manchmal selbst nicht so 
genau, aber wir schauen dann einfach mal, ob und 
was dabei rauskommt. Aber so ist das halt mit kre- 
ativen Ideen... ;) 

Wo steckt euer Sinn? 
Wir sind. Ist das nicht Sinn genug? ;) 

Warum macht ihr es? 

Es? Meinst Du, warumwir "sind"? Daraufhat lei- 
der nicht mal unser Haus-Theologe eine Antwort. 

Werdet ihr dafuer bezahlt? 
Leider nein. Aber wenn Du das ändern möchtest: 

Chaos Computer Club 
Konto 59 90 90-201 
BLZ 200 100 20 
Postbank Hamburg 

Nein, im Ernst: Ich glaube, Du hast ein völlig 
falsches Verständnis vom CCC. Möglicherweise 
einfach geprägt von den Massenmedien, das kann 
ich persönlich leider nicht beurteilen. Aber allein 
die Tatsache, daß Du nachgefragt hast, ist sehr 
sympathisch. 
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Wenn Du wirklich wissen willst, was der CCC ist 
und tut, komm doch einfach mal in einer der loka- 
len Treffs vorbei und rede mit den Leuten, die da so 
rumlaufen, da heißt (fast) keiner: https://www.ccc.de/ 
regional? 'language = de 

Das Kreuzverhör geht weiter... 

Es muss doch eine Grundidee geben, oder ein 
Hauptziel, Grund der Bildung des CCCs etc. 

Das ist einfach: Allgemeines Interesse am kreati- 
ven Umgang mit Technik. 

Gibt es einen Oberhacker bei Euch. 

Wie überall sind natürlich die Leute mehr oder 
weniger aktiv und prägen daher auch unterschied- 
lich stark die Arbeit des CCC aber es gibt hier weder 
Titel noch Hierarchien, weil sowas den Grundsät- 
zen des CCC entgegensteht 

Ich habe einfach nur Interesse und möchte ein 
klein bisschen mehr mit meiner Mühle machen. 
Wo ich nun so langsam hinter das System mei- 
ner Suse steige will ich auch mehr. 
Was ist "mehr"? 

Sollte ich tatsächlich ein paar Cuxhavener fin- 
den die Lust hätten, einen CCC -Kreis zu gruen- 
den, dann sollte ich wenigstens wissen worum 
es geht. 

Wenn Du etwas tust, sollte das etwas sein, was Du 
tun willst. Wenn es sich dann noch mit den Zielen 
von anderen (z.B. CCC) deckt, ist es ja umso besser, 
aber das sollte nicht Bedingung für Dein Tun sein. 

Die Fragen stellte Martin L, für die Datenschleuder 
antwortete Martin G. 

Badeschleuder 

Habe ein Abo bei euch und mir ist die Ausga- 
be 89 in der Wanne baden gegangen. Würde Sie 
deshalb gerne nachbestellen. 

Wunderschönen guten Tag, wir könnten die 
nächste Ausgabe in einer wasserdichten Spezial- 
edition herausbringen, dann kann man damit auch 
baden gehen... vorerst klickst Du hier: 

https://berlin.ccc.de/index.php/Konsum <erdgeist> 



Mäusejagd revisited 

Ok, das kommt bisschen spät, da die DS#88 
schon mehr als ein halbes Jahr zurückliegt, 
aber ich dacht mir: Das musst du probieren, ob 
das wirklich geht! 

Gesagt, getan: Da ich selber keine M$ Maus 
besitze, bin ich einfach in den nächsten E- Markt 
gefahren und hab mir die Seriennummer, die ja 
angeblich bei der Hotline verlangt, wird abge- 
schrieben. Im übrigen gar nicht so einfach, weil 
Logitech wohl mittlerweile sowas wie ein Mono- 
pol hält was Mäuse und Tastaturen angeht. 
Naja, kein Wunder, die M$ Dinger sind auch 
ganz schöner Schrott, ich musste mir ernsthaft 
überlegen, ob ich das hier überhaupt durchzie- 
he, was mach ich denn mit so einer häßlichen 
Maus wenn das wirklich klappt?! 

Daheim hab ich die Hotline angerufen und so 
wie bei euch beschrieben versucht eine Laser 
Funkmaus von M$ zu reklamieren, obwohl 
ich gar keine besaß, ich Schelm. :P Nunja, das 
Ergebnis war das der Herr am anderen Ende 
eine Produkt-ID (kurz PID) haben wollte die 
wohl am unteren Ende der Maus sitzen sollte. 
Da wurde es natürlich etwas heikel für mich, 
habe mich aber mit "das muß wohl durch vieles 
Benutzen abgescheuert worden sein" nochmal 
rausreden können! 

Mein Fazit: entweder Ihr hattet nur Glück, weil 
eure alte Maus noch keine solche PID hatte oder 
die haben mittlerweile das Loch in ihrem Sup- 
port gestopft! 

Bleibt mir nur, noch euch viel Spaß mit euren 
"ergaunerten" M$ Mäusen zu wünschen, 
ich hätte den eh nicht gehabt, die Mäuse sind 
schrecklich unergenomisch und unkewl! ;P 

<Fabian> 

Aus der „öfter mal im Brief kasterT- 
Abteilung 

ich bin schon lange bei euch mitglied aber habe 
immer noch keine Datenschleuder bekommen, 
heißt das jetzt ich habe den Beitrag umsonst 
bezahlt???? 
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Ich hoffe ich werde bald man eine oder mehrere 
bekommen <Alex> 

Da sich diese Frage nun doch häuft: Wer Mit- 
glied wird oder ein Abonnement erwirbt, wird in 
die Adressenliste eingetragen und bekommt ab der 
nächsten Ausgabe eine Schleuder nach Hause. 

Die kann belastungs- und inhaltsbedingt auch ein 
wenig länger dauern, einzig garantiert ist, daß 4 
Ausgaben jährlich im Briefkasten landen. 

Den Phasenprüfer mißverstanden... 

ich habe folgendes Problem mit ARCOR. Jeden 
Abend von 22.00 Uhr bis 0.00 Uhr ist mein 
Internetzugang gestört. 

Ich habe den Verdacht das mein Internetverhal- 
ten nicht in die Kalkulation von Arcor passt und 
man mir deshalb den Zugang in der angegebe- 
nen Zeit sperrt. Ein Fehler in meinem Netz- 
werk scheidet aus da ich selbst der Administra- 
tor bin. 

Sollten sie Interesse haben, der Sache nachzu- 
gehen und meine Leitung zu überprüfen bin 
ich dazu gerne bereit. <Andreas L> 

Wie sollen wir "die Leitung prüfen"? - Was sagt 
denn Arcor dazu? - Und was bedeutet "Internet- 
zugang gestört"? 

Ein "Administrator" sollte schon eine etwas genau- 
ere Fehleranalyse erstellen können... <FrankRo> 

Auf eine Nachfrage eines besorgten 
Mitglieds bei seiner Bank: 

Sehr geehrter Herr F., 

vielen Dank für die Zusendung des Artikels. 
Wir freuen uns, dass Sie als Vorstandsmitglied 
des CCC e. V. zu unseren Kunden zählen. 

Gern kommen wir der Klärung des Sachverhal- 
tes nach. 

Die NetBank wurde im Jahr 2005 auf einen 
Softwarebug hingewiesen. Der Hinweis war 



aber letztendlich mit dem Versuch einer Erpres- 
sung verbunden. 

Mit diesem Hinweis sind sicherlich manche 
Reaktionen der NetBank in diesem Fall leichter 
nachzuvollziehen. 

Der Fehler wurde auch von der NetBank 
bereits im Vorfeld des Treffens behoben. In 
diesem Punkt, wie auch bei vielen anderen, 
möchten wir noch erwähnen, das die Dar- 
stellungen des Artikels (Datenschleuder #88) 
erhebliche Abweichungen mit dem tatsächli- 
chen Fall aufweisen. 

Es wäre aus diesem Grund auch wünschens- 
wert gewesen, wenn man sich im Vorfeld der 
Recherche mit der NetBank in Verbindung 
gesetzt hätte. 

Das Thema IT-Sicherheit hat bei uns 
geschäftsbedingt einen sehr hohen Stellenwert 
und wird durch zahlreiche externe EDV- 
Revisoren und Sicherheitsfirmen begleitet. 

Als eine der unabhängigen Security Firmen 
möchten wir hier nur www.atsec.com erwähnen. 

Wie gerade Sie sicherlich wissen, ist trotz aller 
Security-Prüfungen durch externe EDV- 
Revisoren und Sicherheitsfirmen, vor- 
gegebenen Softwareentwicklungsmethoden, 
Softwarequalitätsprüfungen und der Aus- 
richtung nach BSI-Grundschutz, das Thema 
IT- Sicherheit immer eine Momentaufnahme. 

Aus diesem Grund durchlaufen wir jedes 
Jahr kontinuierliche Security-Prüfungen. 

Wir hoffen, Ihnen mit dieser Ausführung gehol- 
fen zu haben und verbleiben 

Mit freundlichen Grüßen 

Gerald Artelt 

Prokurist / Bereichsleiter IT-Strategie & Datamining 
NetBank AG 
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Anmerkung der Redaktion: 

Daß die Geschichte ein Geschmäckle hat, war der 
Redaktion natürlich bewußt. Daß die Datenschleu- 
der, wie in einem früheren Falle, als Druckmittel 
für einen Beratervertrag eingesetzt würde, war hier 
nicht zu befürchten. Die Hin- und Rückbuchung auf 
das Konto waren der eigentliche Ausschlaggeber für 
den Abdruck der Geschichte. 

Nichts destotrotz räumen wir Versäumnisse bei der 
Recherche ein, da wir dachten, schon der Artikel 
allein würde, insbesondere in Hinsicht auf die Rolle 
des Vaters, dengesamten Sachverhalt in ein korrek- 
tes Licht rücken. 

Wir geben der NetBank ganz selbstverständlich 
Raum für eine Gegendarstellung, in der sie ihre 



Sicht der Dinge schildern kann, bis dato ist eine sol- 
che bei uns nicht eingegangen. 

Für die Redaktion Datenschleuder <erdgeist> 

Erscheinung Ihrer Adresse auf meinem 
Rechner 

Hallo Ihr Pfeifen, in Zukunft bitte von meinem 
Rechner fernhalten. Thanks <lifeartist@xxx.de> 

Alter, wenn du Erscheinungen an deinem Rech- 
ner hast, ist das dein Ding. Wenn dir unsere Adres- 
se erscheint, ist die Geschichte schlimm - du solltest 
einen Arzt konsultieren. Wenn du uns „Pfeifen" 
nennst, wirst du sicher einen Arzt brauchen, deine 
Punkte in Flensburg nachzählen und mal öfter über 
deine Schulter schauen müssen. <erdgeist> 




Nachruf auf 
Gerriet Hellwig 

Mit einem Lächeln verstarb Gerriet am 7. Juni 



2006. 



Er hat sich n 



ihm für die Zeit, die er bei uns war. 



Foto: Wolfgang Hilse 



Er hat sich nicht nur mit Computern beschäftigt, 
sein Interesse galt auch der freiheitlichen Kinder- 
erziehung, der Farbtheorie, dem Umgang mit 
Hunden und Pferden, kreativem Kochen-und 
so vielem mehr. Seine Art zu diskutieren und zu 
denken hat uns viel gegeben. 



Gerriet war einer der wenigen Menschen, der nicht nur über den Tellerrand hinausse- 
hen konnte, sondern auch als Visionäre neue Wege zeigte und lebte. Er war ein besonderer 
Mensch, immer voller neuer Ideen und Freundlichkeit, und er teilte beides gerne. 

Er war auch ein treuer Freund-so war er regelmäßig bei Wau, als dieser im Koma lag, und 
kümmerte sich darum, daß er gut versorgt wurde. 

Die Welt verliert einen Denker, der die Symbiose zwischen "Bauch" und "Kopf" geschafft hat. 
Und einen sensiblen, humorvollen und intelligenten Freund. 



Gerriet, wir vermissen Dich. 
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Piratendemonstration 

Auf der Demonstration am 03.06.2006 in Stockholm/ Schweden, zu der die dort bei den 
Parlamentswahlen antretende Piratenpartei einlud, hielt deren Anführer, Rickard Falk- 
vinge, eine flammende Rede über philosophische Hintergründe des modernen Netzpi- 
ratentums. Hier ein Transkript, unter Zuhilfenahme anderer Übersetzungen aus dem 
Schwedischen übersetzt von Maha. 



Freunde, Bürger, Piraten! 

Es gibt nichts Neues unter der Sonne. 

Mein Name ist Rickard Falkvinge, und ich bin 
der Anführer der Piratenpartei. Während der 
letzten Woche haben wir einige Übergriffe mit- 
erleben müssen. Wir haben gesehen, wie die 
Polizei die ihnen zu Verfügung stehenden Mit- 
tel mißbraucht hat. Wir haben gesehen, wie 
hochrangige Politiker mobil gemacht haben, 
um die Medienindustrie in Schutz zu nehmen. 

All das ist ungeheuer skandalös. Deshalb ste- 
hen wir heute hier. 

Die Medienindustrie will uns davon überzeu- 
gen, daß es nur um Vergütungsfragen geht, 
also darum, wie eine bestimmte Berufsgruppe 
bezahlt wird. Daß es um ihre stetig sinkenden 
Verkaufszahlen geht, um trockene Statistik. Das 
ist ein Vorwand. Es geht um etwas ganz ande- 
res! 

Um die heutige Situation im Licht der Geschich- 
te zu verstehen, müssen wir 400 Jahre zurück- 
gehen - zurück in eine Zeit, als die Kirche das 
Kultur- und Wissensmonopol hatte. Was die 
Kirche sagte, hatte zu geschehen. Kommuni- 
kation war wie eine Pyramide hierarchisiert: 
Es gab eine Person an der Spitze, die mit einer 
gewissen Zahl anderer weiter unten in der Pyra- 
mide sprach. Kultur und Wissen hatten eine 
Quelle, und diese Quelle war die Kirche. Gnade 
Gott denen, die es wagten, das Kultur- und Wis- 
sensmonopol der Kirche in Frage zu stellen! Sie 
wurden den zu jener Zeit denkbar schlimmsten 
Mißhandlungen ausgesetzt. Die Kirche erlaub- 
te den Bürgern unter keinen Umständen, selbst 
Informationen zu verbreiten; sie beherrschte 



die gesamte Gesetzgebung: Prävention, Verfol- 
gung und Bestrafung. 

Es gibt nichts Neues unter der Sonne. 

Heute wissen wir, daß die Befreiung des Wis- 
sens das einzig Richtige für die Gesellschaft 
ist. Galileo Galilei hatte Recht; auch er kämpf- 
te gegen das Wissensmonopol. Wir sprechen 
hier von einer Zeit, in der die Kirche die Mei- 
nung vertrat, daß Bürger nicht lernen müßten 
zu lesen und zu schreiben, denn der Pfar- 
rer würde ihnen ohnehin alles sagen, 
was sie zu wissen hätten. Die Kir- 
che wußte, was es bedeutet hätte, 
wenn sie die Kontrolle ver- 
loren hätte. Dann kam der 
Buchdruck. Plötzlich gab es 
nicht nur eine Wissensquel- 
le, auf die man hören konnte, 
sondern mehrere. Die Bür- 
ger, die angefangen hatten, 
lesen zu lernen, konnten 
von unsanktioniertem Wis- 
sen profitieren. Die Kirche 
war wütend. Die Königshäu- 
ser waren wütend. Die briti- 
sche Krone erließ sogar ein 
Gesetz, daß nur Drucker, 
die speziell von der Krone 
zum Buchdruck befugt 
waren, das Wissen und die 
Kultur für die Bürger ver- 
mehren durften. 
Dieses Gesetz 
wurde 
"Copy- 
right" 
genannt. 
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Dann vergingen einige hundert Jahre und die 
Pressefreiheit wurde geschaffen. Aber überall 
existierte immer noch dasselbe alte Kommu- 
nikationsmodell: eine Person teilt vielen etwas 
mit. Es gab verschiedene Leute, auf die man 
hören konnte, aber überall galt: eine Person teilt 
vielen etwas mit. Das wurde vom Staat benutzt, 
um das Konzept eines "verantwortlichen Her- 
ausgebers" einzuführen. 

Die Bürger können zwar selbst am Wissen teil- 
haben, doch es wird immer jemanden geben, 
der verantwortlich gemacht werden kann, wenn 
sie - welch schrecklicher Gedanke - am fal- 
schen Wissen teilhaben. Das ist es, was sich 
jetzt grundsätzlich verändern wird. Denn das 
Internet gehorcht diesem Modell nicht mehr. 
Heute laden wir nicht mehr einfach nur Kul- 
tur und Wissen herunter. Wir laden gleichzeitig 
hoch - zu anderen. Wir verteilen Dateien. Wis- 
sen und Kultur entziehen sich plötzlich einer 
zentralen Kontrolle. 

Das ist der zentrale Punkt meiner Anspra- 
che, deshalb werde ich ins Detail gehen: 
Downloaden ist das alte mediale Modell 
zentraler Kontrolle mit einem ver- 
antwortlichen Herausgeber, der 
angeklagt werden kann, dem 
Mittel gekürzt werden kön- 
nen usw., wo jeder Zugang zu 
Wissen und Kultur über eine 
Zentrale kontrolliert wird, die 
genau die Rechte vergeben 
kann, die sie für angemessen 
hält. 

Kultur- und Wissens- 
monopol, Kontrolle: 

Filesharing ermöglicht das gleichzei- 
tige Hoch- und Herunterladen durch 
alle vernetzten Personen, ohne jede zen- 
trale Kontrolle; die gesamte Kultur und 
Information fließt gleichzeitig zwischen 
Millionen verschiedener Menschen. 
Das ist etwas grundlegend ande- 
res, etwas komplett Neues 




munikation. Es gibt niemanden mehr, der ver- 
antwortlich gemacht wird, wenn falsches Wis- 
sen verbreitet wird. Deshalb reden die Firmen 
so viel von legalen Downloads. Legal. Down- 
loads. Denn sie versuchen, nur das Abholen von 
einem zentralen Punkt unter ihrer Kontrolle zu 
erlauben. Downloaden, nicht Filesharing. Und 
genau das ist der Grund, warum wir das Gesetz 
ändern werden. 

Während der letzten Wochen haben wir gese- 
hen, wie weit einer der Akteure zu gehen bereit 
ist, nur um nicht die Kontrolle zu verlieren. 
Wir haben gesehen, wie die Verfassung ver- 
letzt wurde. Wir haben gesehen, wie Zwangs- 
maßnahmen und Angriffe auf die persönliche 
Integrität von der Polizei durchgeführt wurden 
- nicht um Verbrechen zu bekämpfen, sondern 
um die Beteiligten und ihr Umfeld zu belästi- 
gen. 

Es gibt nichts Neues unter der Sonne, und die 
Geschichte wiederholt sich immer wieder. Es 
geht nicht um die Vergütung einer bestimm- 
ten Berufsgruppe. Es geht um die Macht über 
Kultur und Wissen, denn wer diese Dinge 
beherrscht, beherrscht die Welt. 

Die Medienindustrie hat versucht, uns ein 
schlechtes Gewissen einzureden, indem sie uns 
sagt, daß das was wir tun, illegal sei, daß wir 
Piraten seien. Sie versuchen uns zu erdrücken. 
Schaut euch heute um - schaut, wie sie versagt 
haben. Ja, wir sind Piraten. Aber wer es für eine 
Schande hält, Pirat zu sein, hat Unrecht. Wir 
sind stolz darauf! 

Denn wir wissen ja schon, was es heißt, ohne 
zentrale Kontrolle zu leben. Wir haben ja schon 
die Freiheit geschmeckt, gefühlt und gerochen, 
ohne zentrales Wissens- und Kulturmonopol zu 
leben. Wir haben ja schon gelernt, zu lesen und 
zu schreiben. 

Und wir werden auch nicht vergessen, wie man 
liest und wie man schreibt, nur weil es den 
Medien von gestern nicht in den Kram paßt. 



^ -w^. in ^ er Gesc h icnte der Mein Name ist Rickard und ich bin ein Pirat! 

iRickafcilFaiicyifl geMhfc. menschlichen Kom- 
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Der große Bruder fliegt auch 
Dich 

Zuverlässigkeitsüberprüfung für alle im neuen Luftsicherheitsgesetz 

von Otto Groschenhügel und Winston Smith <ds@ccc.de> 

Am 18. Juni 2004 beschloß der Bundestag das Luftsicherheitsgesetz (LuftSiG) [1] zum 
Schutz vor Angriffen auf die Sicherheit des Luftverkehrs. Laut §7 dieses Anfang 2005 in 
Kraft getretenen Gesetzes muß sich nun neben zahlreichen anderen Betroffenen aus- 
nahmslos jeder fliegende Bürger vom Motorseglerpiloten an aufwärts jedes Jahr einer,, 
Zuverlässigkeitsüberprüfung" (ZÜP) unterziehen - inklusive weitestgehender Durch- 
leuchtung durch alle deutschen Sicherheitsbehörden und Geheimdienste, nach nirgend- 
wo nachprüfbaren Kriterien, mit potentiell schwerwiegenden Folgen für den Einzelnen 
- und natürlich kostenpflichtig. 



Da der Luftverkehr grundsätzlich nicht ande- 
ren Zwecken dient als der Straßenverkehr oder 
die Schiffahrt, aufgrund der deutlich kleine- 
ren Zahl der aktiven Teilnehmer aber ein poli- 
tisch besonders geeignetes Erprobungsfeld für 
die Implementierung von (vorgeschobenen oder 
tatsächlich intendierten) Sicherheitsmaßnah- 
men auf Kosten einer überschaubaren Zahl von 
Betroffenen darstellt, soll in diesem kleinen Bei- 
trag versucht werden, kurz exemplarisch dar- 
zustellen, was morgen jeden von uns erwar- 
ten kann, wenn rechtsstaatliche Freiheiten und 
Grundsätze allzu bereitwillig aufgegeben wer- 
den. Denn: Ist dies der Fall, sind Seesicherheits- 
gesetz und Straßensicherheitsgesetz nur eine 
Frage der Zeit. 

Die Zuverlässigkeitsüberprüfung: 
Willkommen, Genosse Mielke! 

Zunächst ist es nicht zuletzt vor dem Hinter- 
grund einer potentiellen Ausdehnung auf wei- 
tere Lebensbereiche recht interessant, nicht nur 
herauszustellen, was die Zuverlässigkeitsüber- 
prüfung umfaßt, sondern vor allem auch, auf 
welche Weise sie zustandekommt und durch- 
geführt wird. Ihre rechtliche Grundlage, das 
Luftsicherheitsgesetz, war schon während sei- 



ner Entstehung von den Wogen des emotiona- 
len Aktionismus nicht gänzlich unberührt und 
im Bundestag von vehementen Forderungen bis 
hin zur Grundgesetzänderung begleitet - der 
geneigte Leser möge sich anhand der Plenarpro- 
tokolle [2] selbst ein Bild machen, in welchem 
Umfang sich die von ihm gewählten Politiker 
noch Einigkeit und Recht und Freiheit verpflich- 
tet fühlen. Auf die Entstehungsgeschichte und 
erlesene handwerkliche Qualität des Gesetzes, 
insbesondere des §14 Abs. 3, der bei Vorliegen 
bestimmter Umstände den gezielten Abschuß 
von Verkehrsflugzeugen durch Entscheid des 
Verteidigungsministers vorsah, soll an dieser 
Stelle aber nicht weiter eingegangen werden - 
zumal nachdem die letztgenannte Passage 
mittlerweile vom Bundesverfassungsgericht als 
verfassungswidrig gekippt wurde [3]. 

Die rechtliche Klärung der im gleichen Gesetz 
in §7 eingeführten Zuverlässigkeitsüberprü- 
fung steht derzeit allerdings noch aus; so hat 
u.a. der deutsche Verband der Allgemeinen 
Luftfahrt AOPA Verfassungsbeschwerde gegen 
diesen §7 eingelegt. Was umfaßt aber nun die 
in diesem Paragraphen definierte Zuverlässig- 
keitsüberprüfung, und wie wird sie durchge- 
führt? Es geht darum, daß sich jeder (!) Pilot 
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mit deutscher Lizenz vom Motorsegler an auf- 
wärts jährlich (!) einer solchen Zuverlässig- 
keitsüberprüfung unterziehen muß. Tut er dies 
nicht, ist er natürlich per definitionem unzuver- 
lässig und wird in Folge seine Lizenz verlieren. 
Betroffen sind überdies alle, die beruflich „nicht 
nur gelegentlich Zugang zu nicht allgemein 
zugänglichen Bereichen des Flugplatzgeländes 
eines Verkehrsflughafens" haben, bis hinunter 
zu den Reinigungsunternehmen und Warenlie- 
feranten. 

Alle werden im Rahmen der Überprüfung für- 
sorglich und vor allem gründlich durchleuchtet: 
Neben Anfragen bei den Polizeivollzugs- und 
den Verfassungsschutzbehörden der Länder 
werden Bundes- und Zollkriminalamt, das Bun- 
desamt für Verfassungsschutz, der Bundes- 
nachrichtendienst, der Militärische Abschirm- 
dienst und sogar der Bundesbeauftragte für die 
Unterlagen des Staatssicherheitsdienstes der 
ehemaligen DDR im Gesetz ausdrücklich als 
in die Zuverlässigkeitsüberprüfung mit einzu- 
beziehende Behörden genannt. Darüberhinaus 
darf die die ZÜP durchführende Behörde (i.d.R. 
das für den Wohnort zuständige Regierungs- 
präsidium, d.h. eine einfache Landesbehörde) 
unbeschränkte Auskünfte aus dem Bundeszen- 
tralregister einholen, ggf. das Ausländerzent- 
ralregister und die zuständigen Ausländerbe- 
hörden konsultieren sowie „Anfragen an die 
Flugplatzbetreiber und Luftfahrtunternehmen 




sowie an den gegenwärtigen Arbeitgeber des 
Betroffenen" (sie!) stellen. 

Der Betroffene ist selbstverständlich darüber 
hinaus nach §7 (3) verpflichtet, an seiner eige- 
nen Überprüfung mitzuwirken. Sämtliche 
Wohnorte seit der Geburt sind anzugeben und 
in die Zuverlässigkeitsüberprüfung mit einzu- 
beziehen. Weh' dem, der da einmal zuviel Ärger 
mit dem Nachbarn hatte oder gar von einem IM 
aktenkundlich angeschwärzt wurde. Auslands- 
aufenthalte sind sowieso verdächtig. 

Besonders perfide: Da es staatlichen Behör- 
den nach sonst geltender Gesetzeslage ja aus 
guten Gründen (offiziell noch?) nicht gestat- 
tet ist, ohne weiteres beliebige Daten von Poli- 
zei, Geheimdiensten usw. über einen Bürger 
zu sammeln, zu kombinieren, seinen Arbeitge- 
ber und andere Personen aus seiner Umgebung 
ganz unverbindlich und neutral auszuhorchen 
und all dies' in einer Akte zusammenzustellen, 
muß der fliegende Bürger jedes Jahr „freiwil- 
lig" durch Stellen eines dahingehenden Antrags 
mit seiner eigenen Unterschrift seine Zustim- 
mung zu einer solchen Datensammlung nicht 
nur geben, sondern sogar selbst beantragen 
und somit selbst die §1 und 54a des Bundesda- 
tenschutzgesetzes für sich außer Kraft setzen. 
Logisch folgerichtig sind die Kosten für die aus 
der Antragstellung resultierende Schnüffelei (je 
nach Bundesland unterschiedlich, im Gespräch 
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sind 25 bis hin zu 255 EUR p.a.) selbstverständ- 
lich auch vom Antragsteller selbst zu tragen. 

„ Unsere Juristen müssen begreifen, dass der Staat 
und das von ihm geschaffene Recht dazu dienen, die 
Politik von Partei und Regierung durchzusetzen" 

Dem geneigten Leser könnten nun bereits erste 
Zweifel kommen, ob die ZÜP nicht möglicher- 
weise genauso wie der bereits gekippte §14 (3) 
des gleichen Gesetzes zum gezielten Abschuß 
von Verkehrsflugzeugen schlichtweg verfas- 
sungswidrig ist. Warum, so könnte er sich z.B. 
fragen, werden, wenn die Terrorgefahr solch 
schwerwiegende Eingriffe denn offensicht- 
lich erfordert, dann nicht alle dieser offenbar 
ja überall auftretenden potentiellen Terroris- 
ten gleichbehandelt? Warum müssen sich nicht 
z.B. alle Autofahrer (Oklahoma) oder alle S- und 
U-Bahn-Fahrer (Tokio, Madrid) einer Zuverläs- 
sigkeitsüberprüfung stellen? Oder alle Bauar- 
beiter in Schulgebäuden, Lehrer und Theaterbe- 
sucher (Beslan, Moskau)? 

Gerade wenn sich der geneigte Leser über das 
zahlenmäßige Verhältnis von Attentaten mit 
Autobomben (neben Oklahoma drängen sich 
u.a. Jakarta, Sharm El-Sheikh, Bagdad, Kerba- 
la u.v.a. m. im Irak, in Israel usw. usf. auf) zu 
Attentaten insbesondere mit Kleinflugzeugen 
klar wird, wird er doch einige Verwunderung 
darüber ausdrücken, warum hier eine bestimm- 
te Bevölkerungsgruppe offensichtlich unter 
Generalverdacht gestellt wird, ohne daß auch 
nur vage Anhaltspunkte eines Terrorverdachts 
bestehen [4]. Dies umso mehr, wenn er weiß, 
daß diese Maßnahmen gegen tatsächliche und 



motivierte Terroristen vollkommen wirkungs- 
los sind: Seit 1944 ist im Chicagoer Abkommen 
über die internationale Zivilluftfahrt („ICAO- 
Abkommen") verbindlich geregelt, daß jeder 
Mitgliedsstaat verpflichtet ist, nach bestimm- 
ten Regeln seinen Luftraum für ausländische 
Flugzeuge aus anderen IC AO -Mitgliedsstaaten 
zu öffnen. Gerüchteweise sollen diese ausländi- 
schen Flugzeuge ja nun auch von ausländischen 
Piloten gesteuert werden. Wahlweise natürlich 
auch von deutschen Piloten mit ausländischen 
Lizenzen. Diese brauchen sich der hoheitlich- 
deutschen ZÜP aber selbstverständlich nicht zu 
unterziehen. Als ausländischer Pilot, so könnte 
man meinen, lebt es sich in Deutschland mög- 
licherweise besser und mit mehr Privatsphäre 
denn als Einheimischer? 

Darüberhinaus könnte der geneigte Leser wei- 
tere grundsätzliche Bedenken haben, wenn er 
sich klarmacht, daß die ihm aus grauer ver- 
fassungstreuer Vorzeit möglicherweise noch 
bekannte Unschuldsvermutung in diesem Ver- 
fahren fröhlich negiert wird: Die Zuverlässig- 
keit ist durch den Piloten nachzuweisen, nicht 
etwa die Unzuverlässigkeit durch die Behör- 
den, auch wenn diese quasi als kostenpflich- 
tige Dienstleister den Bürger bei dieser seiner 
Pflicht unterstützen. 

Der Leser mag sich auch fragen, ob er sich 
möglicherweise nicht mehr richtig daran erin- 
nert, daß umfangreiche Ermittlungen dieser 
Art doch nach seinem Verständnis von einem 
Staatsanwalt nach Vorliegen eines begründeten 
Anfangsverdachts geführt werden, und daß der 
Betroffene selbstverständlich die Aussage ver- 
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weigern kann und in der ganzen Strafprozeß- 
ordnung nirgendwo davon die Rede ist, daß der 
Beschuldigte an Ermittlungen gegen ihn mit- 
zuwirken verpflichtet ist. Er mag sich ferner 
gegenwärtigen, daß laut Luftsicherheitsgesetz 
dagegen auch laufende Ermittlungsverfahren in 
die Beurteilung der Zuverlässigkeit einbezogen 
werden und sich fragen, inwiefern dies wohl mit 
dem Verbot der Vorverurteilung in Einklang zu 
bringen ist. 

„Wir haben, Genossen, liebe Abgeordnete, einen 
außerordentlich hohen Kontakt mit allen werktäti- 
gen Menschen, in überall, ja, wir haben einen Kon- 
takt, ihr werdet gleich hören, ihr werdet gleich hören, 
warum, ich liebe, ich liebe doch alle, alle Menschen, 
na, ich liebe doch, ich setze mich doch dafür ein." 



unter anderem feststellen, daß die Kriterien, 
nach denen über zuverlässig oder nicht zuver- 
lässig entschieden wird, nirgendwo gesetzlich 
festgelegt sind! 

Nun, denkt der geneigte Leser weiter, wenn es 
nicht im Gesetz steht, wird es sicherlich in der 
Durchführungsverordnung nachprüfbar fest- 
gelegt sein? Der 517 LuftSiG legt ja schließ- 
lich ausdrücklich fest, daß die Einzelheiten der 
Zuverlässigkeitsüberprüfung durch Rechtsver- 
ordnung zu regeln sind. Doch welch Überra- 
schung: Eine solche Rechtsverordnung ist bis 
heute nicht erlassen worden - ebensowenig 
natürlich eine Gebührenordnung. 

Daß die ZÜP dessen ungeachtet bundesweit 
bereits mit voller Routine im Gange ist, 
wird da sicherlich keinen stören. Heißt 
es doch lediglich, daß die Entschei- 
dung darüber, ob jemand als 
zuverlässig oder unzuverlässig 
zu gelten hat, im alleinigen 
Ermessen des Beamten einer 
einfachen Landesbehörde 
steht! 




Ein unbedarfter Narr, wem sich da 
das häßliche Wort „Willkürentscheid" 
aufdrängt. 



Wenn nun aber, so beruhigt sich der geneig- 
te Leser, solch weitgehende Ermittlungen zur 
Feststellung der Zuverlässigkeit durchgeführt 
werden, so werden diese doch sicher nur unter 
strengen Auflagen durchgeführt, und es wird 
anhand eines klar definierten und nachprüfba- 
ren Kriterienkatalogs über die Frage der Zuver- 
lässigkeit entschieden. Stattdessen wird er aber 



Eine Widerspruchsmöglichkeit gibt es bei 
solch unfehlbaren Entscheidungen in 
wiederum bewundernswerter logi- 
scher Konsequenz auch nicht. Wie- 
der wird der geneigte Leser in den 
Untiefen seines Gedächtnisses suchen und 
sich vielleicht erinnern, daß nach Art. 103 (2) 
GG der Bürger doch das Recht haben sollte, die 
Gesetze, Vorschriften und Verordnungen zu 
kennen, deren Verletzung für ihn zu Nachteilen 
führt. Wie soll man nun aber gegen unbekann- 
te Ermessensspielräume selbst beweisen, daß 
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man kein Terrorist ist? Dies selbstverständlich 
auch noch kostenpflichtig? 

Um zu verdeutlichen, daß es sich hier nicht um 
abstrakte Sachverhalte handelt, sondern um 
konkrete Probleme mit weitreichenden Konse- 
quenzen für jeden Betroffenen, sei auszugswei- 
se aus dem offenen Brief [5] eines Professors, 
anerkannter Spezialist für Flugzeugantriebe, 
an die für ihn zuständige Luftsicherheitsbehör- 
de zitiert: 

"Mit welchen Ausländern darf ich in Zukunft 
noch Kontakt haben, ohne behördlichen Zwei- 
fel an meiner Zuverlässigkeit zu wecken? Ich 
habe berufliche Kontakte zu US-amerikani- 
schen Kollegen mit iranischem und pakis- 
tanischem Pass. Wenn sie mir nicht schrift- 
lich bestätigen, dass diese Kontakte für mich 
auch potentiell keine negativen Konsequen- 
zen haben können, werde ich diese abbrechen. 
Dieses Vorgehen zu meinem Schutz ist mir per- 
sönlich sehr unangenehm. Ich werde mich bei 
diesen Kollegen deshalb entschuldigen, ihnen 
die Gründe schriftlich mitteilen und sie über 
ihre Botschaften an die deutsche Regierung 
verweisen. [...]" 

Das eine oder andere Regierungspräsidium z.B. 
verlangt seinerseits in den suspekten Fällen, in 
denen der Antragsteller das Wagnis eines län- 
geren Auslandsaufenthalts einging, regelmäßig 
den Nachweis der lokalen ausländischen Behör- 
den, daß sich der Antragstellende während sei- 
nes Aufenthalts dort keiner Straftat schuldig 
gemacht hat. Je nach Gutdünken selbstverständ- 
lich mit Apostille, amtlich beglaubigten Über- 
setzungen usw. und, wie schon ausgeführt, auf 
Kosten des Antragstellers. Genauso regelmäßig 
sehen sich die lokalen Behörden mangels vor- 
handener Zentralregister außerstande, einen 
solchen „Persilschein" auszustellen, was wie- 
derum auf das Unverständnis der entsprechen- 
den deutschen Luftsicherheitsbehörde stößt etc. 
ad infinitum. 

Wie lange wird es noch dauern, bis sich der 
Begriff „feindlich-negative Grundeinstellung" 
wieder wie in Mielkes Zeiten in den Akten fin- 
det und Anlaß genug ist, die bürgerliche Frei- 





heit einschränkende staatliche Maßnahmen zu 
rechtfertigen? Ist es vielleicht schon so weit? 
Das zu überprüfen ist selbstverständlich genau 
so wenig möglich, wie gegen einen negativen 
Zuverlässigkeitsbescheid Widerspruch einzu- 
legen. Denn wenn der eigene Bürger aufgrund 
nachrichtendienstlicher Erkenntnisse als unzu- 
verlässig angesehen wird, dann dürfen ebenje- 
nem Bürger diese Erkenntnisse natürlich nicht 
mitgeteilt werden, denn die sind ja geheim. 
Catch-22, anyone? 

„Die Mauer wird in 50 und auch in 100 Jahren 
noch bestehen bleiben, wenn die dazu vorhande- 
nen Gründe noch nicht beseitigt sind. Das ist schon 
erforderlich, um unsere Republik vor Räubern zu 
schützen." 

Zusammenfassend bleibt festzuhalten: Mit der 
im Luftsicherheitsgesetz festgelegten umfas- 
senden Zuverlässigkeitsüberprüfung wird eine 
ganze Bevölkerungsgruppe mit nachrichten- 
dienstlichen Mitteln ausgeforscht - mit ver- 
fehlter Zweckerfüllung, dafür aber auf ver- 
fassungsrechtlich ausgesprochen fraglichen 
gesetzlichen Grundlagen, nach öffentlich nicht 
bekannten und nicht nachvollziehbaren Kriteri- 
en, unter Preisgabe der gesetzlich geschützten 
Privatsphäre, auf Kosten von und mit potentiell 
schwerwiegenden Konsequenzen für das beruf- 
liche und private Leben der Betroffenen, ohne 
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ordentliche Berufungsmöglichkeit 
jedes Jahr aufs Neue. 



Der geneigte Leser sei ein letztes Mal bemüht: 
Er mag sich überlegen, ob er an dieser Stel- 
le nicht beispielsweise die laufenden Verfas- 
sungsbeschwerden z.B. der AOPA unterstützen 
will oder zumindest beim Abgeordneten sei- 
nes Wahlkreises Aufklärung über die Durch- 
führung der Zuverlässigkeitsüberprüfung nach 
dem Luftsicherheitsgesetz verlangt. Was heute 
nur Piloten und Bodenpersonal betrifft, kann 
morgen auch für jeden Autofahrer Wirklichkeit 
werden, wenn Verhältnismäßigkeit, Recht und 
Augenmaß keinen Eingang mehr in Gesetzge- 
bungsverfahren finden. 

[i] Luftsicherheitsgesetz, verabschiedet als 
Artikel i des Gesetzes zur Neuregelung 
von Luftsicherheitsaufgaben vom n. Januar 



und das 2005 (BGBl. I 78), am 14. Januar 2005 

verkündet und am 15. Januar 2005 in Kraft 
getreten. Das Gesetz wurde geändert durch 
Artikel 49 des Gesetzes zur "Umbenennung 
des Bundesgrenzschutzes in Bundespolizei" 
vom 21. Juni 2005 (BGBl. I 1818). 
[2] Plenarprotokolle des Deutschen Bundestages 
15/89 vom 30. Januar 2004, 15/115 vom 18. 
Juni 2004 und 15/155 vom 28. Januar 2005. 
[3] Entscheidung des Bundesverfassungsge- 
richts vom 15. Februar 2006 (1 BvR 357/05) 
und Bekanntmachung des BMJ vom 27. 
Februar 2006 (BGBl. I 486). 
[4] Vgl. Verfassungsbeschwerde der AOPA 
beim Bundesverfassungsgericht gegen die 
Zuverlässigkeitsüberprüfung nach dem 
Luftsicherheitsgesetz . 
[5] Öffentlicher Brief von Prof. Dr.-Ing. Konrad 
Vogeler an das Regierungspräsidium 
Dresden vom 16. Juni 2005. 
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ROUTING HACKERS TO UNIVERSAL SLUC AND PAY 




Hacking routers using 
Universal Plug and Play 

Armijn Hemel <armijn@uulug.nl> 

At the SANE 2006 Conference in Delft, the Netherlands, I presented a paper about vulne- 
rabilities in many Universal Plug and Play enabled routers. This article is an adaption of 
that paper, with new updated information and more hacks than described in the original 
paper. 



The Universal Plug and Play protocol (often 
simply called UPnP) is a network protocol that 
makes it easy to connect networked devices to a 
network. Special Software on the devices makes 
it possible that they configure themselves and 
offer Services to other devices or programs on 
the network, all without any Intervention from 
the user. The ideas behind UPnP are noble, 
but it clashes hard with reality. In this artic- 
le I will briefly show what UPnP is and how it 
works, after which I will show where some of the 
sub protocols and implementations go awfully 
wrong, with disastrous consequences. 

The history of UPnP Starts at one of our favouri- 
te inventors of security holes, namely Microsoft. 
In 1999 the first specifications were released, 
apparently as a reaction to JINI from Sun. Mic- 
rosoft founded a seperate entity to govern UPnP 
specifications and do UPnP promotions, called 
the UPnP Forum. Quickly a number of compa- 
nies signed up. On April, 30th 2006 the UPnP 
Forum had 785 members. In the subsequent 
years UPnP was quickly pushed. 

Windows ME and Windows XP come with 
UPnP built in, Linksys enables most of its home 
routers with it and programs like MSN Messen- 
ger, X-Box Live, many networked games and bit- 
torrent clients use it extensively. 

The UPnP protocol is mostly based on open Stan- 
dards, or adaptions of open Standards, including 
HTTP and SOAP. In the lifecycle of UPnP there 
are 5 + 1 stages. 



The zeroth, optional, stage is addressing. If a 
device is connected to the network it will first try 
to get an address via DHCP. If the device does 
not get an IP address it will fall back to a techni- 
que called "auto-addressing": 

1. randomly pick an IP address from \ 
url{i69. 254/16} IP ränge 

2. if IP address is taken, abandon IP address 
and goto 1 

3. eise keep IP address 

This technique is not specific to UPnP. 

The first step is discovery. When a device is con- 
nected to a network, it will broadcast a packet to 
the multicast address 239.255.255.250 on UDP 
port 1900. 

This packet is basically just a HTTP header. The 
protocol is often referred to as HTTPU (HTTP 
over UDP). A discovery packet can look like 
this: 

M-SEARCH * HTTP/1.1 

HOST: 239.255.255.250:1900 

MAN: ssdp:discover 

MX: 10 

ST: ssdp:aU 

All UPnP devices on the network should reply 
to this by sending a packet back using UDP uni- 
cast. This packet, again, consists of HTTP hea- 
ders and could look like this: 
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HTTP/1.1 200 OK 
CACHE-CONTROL: max-age=1800 
EXT: 

LOCATION: http ://10. 0.0. 138 :80/IGD.xml 

SERVER: Speed To uch 510 4.0.0.9.0 UPnP/1.0 

(DG233B00011961) 

ST: upnp : rootdevice 

USN : uuid : UPnP-SpeedTouch510-l_00 : : upnp : 
rootdevice 

Interestingly, not all UPnP certified devices do 
this. For example, the Linksys WRT54G and 
related devices do not send these notifications. 

Periodically, devices should also announce that 
they are alive, again using HTTPU. A notificati- 
on looks like this: 

NOTIFY * HTTP/1.1 

HOST: 239.255.255.250:1900 

CACHE-CONTROL: max-age=180 

Location: http ://192 . 168 . 1. 1 : 5431/dyndev/ 
uuid:0014-bf09 

NT: upnp: rootdevice 
NTS: ssdp: alive 

SERVER: LINUX/2.4 UPnP/1.0 BRCM400/1.0 
USN : uuid : 0014-bf 09 : : upnp : rootdevice 

The second stage is "description". What it basi- 
cally means is that after discovery or notification 
a device can query the other device to see what 
functionality it offers. It does so by downloading 
and parsing the XML file that can be found in 
the "LOCATION" header of a discovery or noti- 
fication message. In this XML file you can find a 
lot of Information. The most important elements 
are "controlURL" (used in stage 3), "eventSub- 
URL" (used in stage 4) and ^SCPDURL" (not 
used, but informative). 

You should be aware that there is no fixed URL 
or even a fixed port for where you can find this 
XML file. I have seen it vary on the same device 
after it was rebooted. 

The most interesting stage is "control". In this 
stage devices can be controlled using SOAP. 
SOAP can be seen as a form of RPC over XML. 
Functions and values are encoded in XML 
and sent to the device. On the device the XML 
description is parsed and the function is execut- 
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ed (or not, if it is an invalid function or if func- 
tion values are not correct). The SOAP packets 
are sent to the NN control URL" which can be 
determined in the previous stage. 

The fourth stage is called ^eventing". Most 
devices keep State variables which represent 
some State in the device. This could be whether 
or not the device is up, if NAT is enabled, and so 
on. These variables are evented. Clients can sub- 
scribe to these events, but sending one or more 
callback URLs to the event's URL from stage 2. 
Whenever a variable changes, the new value(s) 
will be sent to the callback URLs. 

The final, fifth, stage is called presentation. 
Usually this just comes down to the webinter- 
face on the device. 

Together a set of State variables and actions form 
a so-called "profile". The UPnP forum has defi- 
ned various Standard profiles. One of the profi- 
les is the Internet Gateway Device profile. This 
profile was the first to be standardized and is 
currently the most widespread. The IGD profi- 
le defines a few subprofiles, of which WANPP- 
PConnection and WANIPConnection are of par- 
ticular interest, because these profiles define 
things like NAT rules. 

Sending a request to an IGD is simple. In the 
example Python code I have used the SOAPpy 
library: 

import os 

from SOAPpy import * 

# Edimax devices often have the control URL here... 
cont rol="http : //192 . 168 . 0 . 1 : 49152/upnp/cont rol/WANIPConnl" 
namespace = "urn:schemas-upnp-org:service: 
WANIPConnection :1" 

Server = SOAPProxy(control , namespace) 

soapaction = "urn:schemas-upnp-org:service: WANIPConnection: 

l#GetExternalIPAddress" 

print "external IP", Server. _sa(soapaction). 

GetExternallPAddressO 

This little command will send a SOAP request 
to the IGD and ask for its external IP address. 

A more interesting piece of code is where you 
ask the IGD to make a portforward and punch a 
little hole in the firewall: 
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soapaction2 = "urn:schemas-upnp-org:service:WANIPConnection 
: l#AddPortMapping" 

Server. _sa(soapaction2).AddPortMapping( 
NewRemoteHost="" , 
NewExternalPort=5667, 
NewProtocol="TCP" , 
NewInterncfLPort=22 , 
NewInternalQient="10.0.0. 152" , 
NewEnabled=l, 

NewPortMappingDescription="evil h4x0r" , 
NewLeaseDuration=0) 

This will forward external port 5667 on the 
external interface of the IGD to port 22 on my 
machine (10. 0.0. 152) on the LAN. This is done 
without authentication. With a similar request 
you can delete the portmapping and close the 
port again. 

Hacking the Internet Gateway Device 

The portmapping feature of an IGD might be 
convenient to users and programs such as MSN, 
but it can of course also be abused by others. At 
SANE I heard vague rumours that apparently 
there are already botnets that use the portmap- 
ping feature to open more ports to an infected 
machine. But there are a lot more interesting 
hacks possible with the IGD profile. The hacks 
that I will discuss are not a hole in the specifi- 
cation, but are a direct result of unclear specifi- 
cations and sloppy programming. This nothing 
new of course. 

Some of the bugs that are listed below are just 
the common ones that we've seen countless 
times before, for example in CGI programs. 
What makes it a real problem is the fact that 
there are literally millions of routers that have 
these bugs. Gijs Hillenius, the journalist from 
„Automatisering Gids" that first published 
about my research checked with Linksys about 
the amount of routers they ship. He was told that 
Linksys sells 1.5 million units of the WRT54G 
family PER MONTH worldwide (he actually had 
the marketeer repeat this three times just to be 
sure it was correct). 

All hacks that I will describe here can only be 
launched from the LAN. This is a barrier and if 
someone has access to the LAN they can alrea- 
dy do a lot of other interesting attacks on tar- 
gets on the LAN. However, I think these attacks 
are a lot more interesting than others, because 




they involve reconfiguring the router. A trojaned 
machine is fairly easy to detect, but a reconfigu- 
red routers can go unnoticed for much longer. 

The hacks require only a minor tweak to one of 
the parameters of the AddPortMapping SOAP 
request, namely NewInternalClient. 

Hack 1: Opening other machines on 
the LAN 

It is not clearly defined where NewInternalCli- 
ent should point to. In the IGD specifications 
there are several definitions for this. On page 12 
of the specifications (available in PDF format on 
the UPnP Forum Website) NewInternalClient is 
described as: 

"77? is variable represents the IP address or DNS 
host name of an internal dient (on the residen- 
tialLAN)." 

On page 13 of the same document it says: 

"Each 8-tuple configures NAT to listen for 
packets on the external interface ofthe WAN- 
ConnectionDevice on behalf of a specific dient 
and dynamically forward connection requests 
to that dient." 

NewInternalClient has been defined to be either 
a normal IP address or a multicast or broadcast 
address (so machines behind the IGD can share 
things like TV streams). It is pretty obvious that 
a device would only ask for a portmapping on its 
own behalf, but the specifications are not clear. 

In many implementations of the IGD it is pos- 
sible to specify another machine at the LAN. 
This is interesting if that other machine is your 
internal DNS Server, mail Server or Windows 
file Server. 

I wouldn't necessarily want to call this a bug, 
because the specifications do not explicite- 
ly allow it. On the other hand, the specificati- 
ons also don't mention that it should be possib- 
le. Whatever the NN officiar' Status is, it is at least 
something that in my eyes is not good. 
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Hack 2: Turning your router into a 
proxy 

So, the next logical step to take is to see what 
happens when you change the parameter New- 
InternalClient from a machine on the LAN to a 
machine which is not on the LAN. According to 
the specifications this should not be possible. 

The bad news (or good news, depending on your 
point of view) is that some implementations of 
IGD will accept it when NewInternalClient is 
actually not located on your LAN. It will still 
send all packets through NAT. The headers of 
the IP packets will be rewritten by the NATing 
code. This means that you can turn a router into 
an onion router. 

For example, you could ask your router to make 
a portmapping for port 80, which should be 
sent to www.ccc.de port 80. When someone con- 
nects to your router on its external interface on 
port 80, the packet will be NATed and be sent 
to www.ccc.de port 80. The whole connection will 
go through the router and never go on the LAN. 
If you do this a few times it will be very hard to 
trace you, since no router logs by default. 

The Solution for router manufacturers is simple, 
just check whether or not the value of NewInter- 
nalClient actually is a machine on the LAN. If it 
is not on the LAN, you reject the portmapping, 
otherwise you accept. 

Many devices that use hardware and Softwa- 
re from Broadcom (for an extensive list see the 
OpenWrt Website) have this same vulnerabili- 
ty. The only exception is US Robotics, who fixed 



this in March 2005, but the patch apparently 
never went upstream. 

Hack 3: Executing code on your router 

So, what if you actually don't put IP addresses 
in your SOAP request, but throw in random 
garbage? One of the devices I looked at in my 
research was the Edimax BR-6104K (firmware 
version 3.21). In the GPL tarball Edimax has on 
their Website you can easily find the UPnP code 
in the EdiLinux/AP/upnp_adm/IGD directory. This 
code is a CVS checkout of the Linux-IGD Softwa- 
re (http://linux-igd.sourceforge.net/), after they rewro- 
te it to C. In the code for pmlist.c you can see the 
following in the function AddPortMappingO: 

int pmlist_AddPortMapping ( 

char *protocol, char *externalPort, 

char *internalQient, char *internalPort) 

{ 

char canmand[500] ; 

sprintf(command, "%s -t not -A Ks -i %s -p %s -m \ 
mport --dport %s -j DNAT --to %s:%s", g_iptabl.es , 
g_preroutingChainName, g_extInterfaceName, protocol, 
externalPort, internalQient, internalPort); 

System (command); 

What happens is that a command is constructed 
using piain strings, a shell is spawned and the 
command is executed as a shell command. You 
can actually insert shell commands here. If you 
look through the code you will see that internal- 
Client is restricted to 15 bytes (4 octets of the IP 
address, with the dots inbetween them), which 
gives you 15 bytes of exploit code. Two backticks 
for the shell command will eat up two more 
bytes (semi-colon did not work), so you have 
13 bytes for exploit code on the device. This is 
enough to issue the command /sbin/reboot, or 
flash default (the default search path is set to / 
usr/bin:/bin, so it will find the flash command 
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through this path), which resets the device to 
factory defaults. 

Server. _sa(soapaction2).AddPortMapping( 
NewRemoteHost="", 
NewExternalPort=Zl, 
NewProtocoWTCP" , 
NewInternalPort=Zl, 
Newlnte r nalCl i ent=" * /sbi n/r eboot * " , 
NewEnabled=l, 

NewPortMappingDescription="blah", 
NewLeaseDuration=0) 

I have tried uploading my own custom explo- 
it code to the router (by appending it to a file) 
and executing that, but that failed. I am confi- 
dent there are people who are far more inventive 
when it comes to abusing this. 

Not every version of Linux-IGD has this pro- 
blem. It is used a lot on routers and there are 
many versions floating around. Some of them 
have checks in the source code (using functions 
like inet_aton() to check if NewInternalClient 
is an IP address in the first place), others don't 
even have the length check built in and you can 
send arbitrary length strings to the device which 
will then be executed. 

Some devices even use the predecessor of Linux- 
IGD called Pseudo-ICS, which suffers from 
the same problem. If you happen to think that 
only old routers have this problem you are very 
wrong, because I found it in some routers which 
had only been on the market for a few months at 
most. Devices are identified pretty easily, either 
by inspecting the GPL sources from the vendor 
Website, or (if the Company is violating the GPL, 
which seems to happen quite often) by dissec- 
ting firmware and checking if somewhere in the 
UPnP program there are "iptables" commands. 

Apart from the code execution, there is also no 
check if the IP address is on the LAN (because 
there is no check at all), so devices that suffer 
from this are also vulnerable for the other hacks. 
I have seen this code used on many EdiLinux 
based devices. 

Why?? Oh why?? 

A question I have asked myself a lot during my 
UPnP research is why manufacturers actually 
make these mistakes. I have a few explanations. 




First of all, the engineers who wrote the code 
never tested with bogus input, but only with pro- 
grams that actually work according to the speci- 
fications, such as MSN Messenger. If you only 
test with programs that behave correctly, you 
will miss the bugs. 

Second, the specifications are written in such 
a way that they never even force someone who 
implements the specifications to think about 
what the values of all parameters can be. 

Third, many manufacturers don't build their 
own Systems, but instead buy it somewhere eise. 
These companies mostly consist of marketeers 
and compete on time to market and price. Put- 
ting more engineering into a product would cost 
time and money. A competitor could put a chea- 
per product, with less engineering, on the mar- 
ket in the meantime. Most companies only care 
about the amount of units they seil. Support 
often also stops after a device is no longer on 
the market. Given the short lifetime of most pro- 
ducts (around two years) this means that many 
devices will never be fixed. 

Other profiles 

The IGD profile is not the only profile which has 
been standardized. There are quite a few other 
profiles, but most of them are not used at all, 
but seem to be developed mainly for dickwa- 
ving purposes to be able to say "Look! We can do 
this too!" The best example of that is the HVAC 
profile (Heating, Ventilation and Air Conditio- 
ning). 

The other profiles that are gaining a lot of Sup- 
port lately are the A/V profiles. Networked audio 
and video devices are getting more and more 
populär and there are quite a few vendors that 
implement UPnP on these devices. I have not 
yet had time to completely dive into the specifi- 
cations and see if there are any big holes. 

Conclusion 

As you have read in this article there are many 
things wrong with current IGD implementati- 
ons. Even though what is described here is not 
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directly a bug in the UPnP IGD profile, it is true 
that the underlying UPnP mechanisms just 
make it too easy for an attacker. The complete 
lack of security in the protocol is astonishing. 

Personally I am wondering whether or not explo- 
its for the bugs described here will be released 
and actively used. Of course, I'm hoping nothing 
will happen. 

List of vulnerable devices 

Below is a list of devices that I have tested myself 
and found to be vulnerable. There are a lot more 
devices that are vulnerable that I have found 
through simple code review, but I have not inclu- 
ded them. Also not included are devices that are 
similar or the same, except for the packaging. 

You will find a list of devices per manufacturer. 
Listed are the name of the unit and, if applicable, 
the hardware revision. Also included is the firm- 
wäre revision and which bugs are in the device 
(i: forward to other machines on the LAN, 2: 
forward to external machines, 3: code execution 
on the router) . 



Linksys 



name 


firmware 


1 


2 


3 


comments 


WRT54G V2.2 


3.03.9 








on by default 


WRT54G V2.2 


4.20.7 








on by default 


WRT54G V2.2 


4.20.8 








on by default 



















For the WRT54GS the bug was fixed in firmware 
4.71.1. 

ZyXEL 



name 


firmware 


1 


2 


3 


comments 















ZyXEL is aware of the issue, but because UPnP 
is turned off by default they are not treating it as 
an urgent bug. It will be fixed in a future version 
along with other bugs. 



Edimax 



name 


firmware 


1 


2 


3 


comments 


BR-6104K 


3.21 


X 


X 


X 


off by default 



Previous versions of the firmware are also vulne- 
rable, but I have not tested them. As I write this I 
am corresponding with Edimax to try to get this 
issue finally fixed. It was reported to them via 
various Channels about a week before the bug 
was disclosed, but there was no response initi- 
ally and I had to try really hard to get them to 
notice it. To top it off, an unofficial response 
from one of their support people said he did not 
see it as a big threat, because UPnP is turned 
off by default and 90% of the people he mailed 
with and talked to on the phone had not enabled 
it later on and that the people who know how to 
turn it on would know about the risks involved. 
I did not bother to try and explain "remote code 
execution" to him. 



Sitecom 



name 


firmware 


1 


2 


3 


comments 


WL-153 


1.31 








off by default 



Sitecom reacted very fast to my report. They 
have privately sent me new firmware, which sol- 
ved hacks 2 and 3 and which will be made public 
soon. 



AVM 



name 


firmware 


1 


2 


3 


comments 















On the FritzlBox Fon WLAN 7050 UPnP 
discovery is turned on, but control is turned off 
by default. AVM does not use one of the Open 
Source IGD implementations but uses its own. 
The first hack does not work for all ports. There 
are special firewall rules on the FritzlBox that 
rule out forwards to internal Windows file and 
printer Servers. According to AVM the same 
firmware is used on all FritzlBox devices. 

AVM has stated that they are very much aware 
of the problems in UPnP and that they will add 
routing rules in the new FritzlBox firmware to 
disallow this from happening. This firmware 
should be released within the next few months. 

Links 

http://www.upnp.org/ 
http://www.upnp-ic.org/ 
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Finding JTAG 

von Hunz <hunz@hunz.org> 

JTAG steht für Joint Test Action Group, ein Verfahren mit dem in einer bestückten Schal- 
tung verifiziert werden kann, ob alle Verbindungen ordnungsgemäß verlötet wurden. 



Das ist bei ICs nützlich, die keine sichtbaren 
Pins an der Außenseite, sondern ein Feld von 
Lötpunkten an der Unterseite haben. Bei diesen 
Ball Grid Array ICs ist es nicht mehr möglich, 
alle Verbindungen ohne teure optische Instru- 
mente visuell zu überprüfen. 

JTAG erlaubt, die Verbindungen über vier Test- 
pins zu prüfen. An jedem Pin kann ein Low- 
oder Hi-Pegel angelegt oder der anliegende Wert 
gemessen werden. Dadurch kann in der Schal- 
tung via JTAG auf Bausteine wie Flash ROMs 
lesend oder schreibend zugegriffen werden. Ein 
JTAG -Anschluß auf einer Platine kann mehrere 
Chips gleichzeitig ansprechen. Die JTAG-Inter- 
faces der einzelnen Chips werden dabei verket- 
tet - man spricht von der JTAG-chain. 

JTAG wurde später von Herstellern zu unter- 
schiedlichen Debuggingschnittstellen erwei- 
tert. Im laufenden Betrieb können u.a. Speicher 
und Register gelesen und beschrieben werden. 
Damit steht dem Auslesen und Modifizieren der 
Firmware nicht mehr viel im Weg. Zunächst 
stellt sich die Frage, wie man die vier Testpins 
lokalisieren kann. Je nach Gerät können unter- 
schiedlich viele Pins divers angeordnet sein. Der 
Blackberry auf Seite 2 hat z.B. etwa 30 Pins, also 
30*29*28*27=657720 mögliche Kombinationen. 
Diese Zahl weckt Automatisierungsgelüste. 

Die Anschlüsse eines JTAG heißen tck, tms, tdi 
und tdo. Es besteht aus seriellem Interface und 
Statemachine, in der man mittels TMS navigiert. 
Daten gelangen via tdi in ein Schieberegister, 
an dessen Ende tdo angeschlossen ist. Den Takt 
macht tck. Bei mehreren Chips in einer Kette 
sind tms und tck parallel verdrahtet, tdo eines 
Chips ist mit tdi seines Nachfolgers verbunden. 
Ein großes setzt sich aus den kleineren Schiebe- 
registern einzelner Chips zusammen. 




Eine bestimmte tms- Sequenz bringt die State- 
machine (siehe Wiki) in den Shift-/ß- oder Shift- 
Dß-Zustand, in dem das ir oder ein dr zwischen 
tdi und tdo gelegt werden kann. Während DRs 
unterschiedliche Länge haben, ist die des ir pro 
Chip konstant. Die Sequenz ist vom Zustand 
der Statemachine abhängig, zum Reset gibt es 
einen optionalen fünften Pin: nTRST. Alternativ 
gelangt man aus jedem Zustand mit fünf Tak- 
ten TMS=1 dorthin. 

Ein über tdi in das Register geschobenes Bit 
erhält man an tdo wieder, sobald es durch das 
Register geshiftet wurde. Die nötige Anzahl 
an Takten entspricht der Länge des Registers 
in Bits +1. Man kann also ein Muster nach tdi 
hineinschieben, welches nach der entsprechen- 
den Anzahl an Takten wieder aus tdo heraus- 
geschoben wird. Von IC zu IC ist die Länge des 
Instructionregisters aber unterschiedlich, also 
für das vorliegende Gerät nicht bekannt. Da 
auch mehrere Chips in derselben JTAG-chain 
sein können, muß die Anzahl an Takten ent- 
sprechend großzügig gewählt werden. Für zwei 
ICs in einer Kette sollten 100 Takte ausreichen. 

Um zu testen, ob die vorliegende Kombination 
aus tck, tms und tdi korrekt und welcher Pin 
tdo ist, wird im Shift-/ß-Zustand beispielswei- 
se 0x23 zwanzig mal nach tdi geschoben. Findet 
man das Muster auf einem anderen Pin wieder, 
stehen die Chancen nicht schlecht, daß dieser 
Pin tdo ist und die Kombination korrekt. Zur 
Sicherheit kann man das Muster 21-mal nach 
tdi schieben. Dann sollte sich das Muster an 
tdo einmal mehr wiederfinden lassen. 

Genauere Informationen, Mitmachseiten und 
die derzeitige Hard- und Softwareimplementie- 
rung finden sich im Wiki des Augsburger Chaos- 
treffs: http://www.c3a.de/wiki/index.php/JTAC_Finder 
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Hacktivismus fokussieren 

von Sandro Gaycken <sandro.gaycken@iwt.uni-bielefeld.de> 

Der bisherige, traditionelle Hacktivismus ist auf dem letzten Congress rechtens als inef- 
fektiv ausgewiesen worden. Dazu wurden auch einige konkrete Ursachen angegeben, wie 
zum Beispiel der Verlust von Aktivisten an die „dunkle Seite" und die Ineffizienz von Sze- 
nepamphleten. Was mir aber fehlte, war eine systematischere, pragmatische Sichtweise. 
Denn der Mißerfolg scheint mir vor allem grundlegende Ursachen zu haben und weniger 
auf spezifischen Detailgründen zu beruhen. 



Problemidentifikation 

Das Hauptproblem ist, daß die Öffentlichkeit 
nicht in einem Maße erreicht wurde, das öffent- 
liche Aktivität erzeugt hätte, und sicher wur- 
den hier die Szenepamphlete schon ganz rich- 
tig identifiziert. Aber das ist, denke ich, nur ein 
Problem innerhalb einer Gruppe grundlegender 
Probleme, die insgesamt einen effektiven Kon- 
takt zur Öffentlichkeit verhindert haben. Ein 
gutes Indiz für diesen schlechten Kontakt ist 
bereits die öffentliche Wahrnehmung des Clubs 
als obskurer und verschwörerischer Haufen, 
von dem keiner so recht weiß, was der eigentlich 
macht. Natürlich ist hier die Innenwahrneh- 
mung völlig anders, aber aus der Außenwahr- 
nehmung kann definitiv dieses Bild berichtet 
werden. Ich will hier also einmal grundlegend 
versuchen, die Ursachen für den Mangel an 
Öffentlichkeitskontakt zu identifizieren und ein 
paar Lösungswege vorzuschlagen. 

In Bezug auf den Mangel halte ich vor allem 
drei Problembereiche für verantwortlich: 

1. Mangel an inhaltlicher Prägnanz: Das Thema 
Datenschutz wird wenig wahrgenommen und 
meist nicht als unmittelbar bedrohlich empfun- 
den. Viele Themen werden sogar als ambivalent 
aufgefaßt. 

2. Schlechte Präsenz: Die bisherige Hauptli- 
nie des Clubs war sachliche Aufklärung über 
das Netz, die Datenschleuder und gelegent- 
liche Presseauftritte. Allerdings war hier der 
Output generell gering, fand meist unter den 
üblichen Verdächtigen in bereits esoterischem 
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Jargon statt und war wenig öffentlichkeitswirk- 
sam (längere und mit Zeigefingermentalität 
geschriebene technische Abhandlungen sind 
nicht gerade bekannt dafür, daß sie Menschen 
oder sensationsfixierte Medien in größere Erre- 
gung versetzen). 

3. Mangel an Angeboten: Der Öffentlichkeit wer- 
den nur wenig Mittel zur Verfügung gestellt, 
um sich selbst zu engagieren. Es gibt keine Kon- 
zepte zur aktiven Organisation von Spenden, 
Abstimmungen, Demonstrationen, Grundsatz- 
klagen etc. 

Zusammenfassend kann man also sagen, daß 
die Themen des Clubs inhaltlich wenig, ver- 
zerrt und ambivalent wahrgenommen werden, 
sie werden vom Club aus methodisch höchst 
ineffektiv geliefert, und sie lassen eventuell ein- 
mal aktivierte Menschen ins Leere laufen, da 
keine Angebote für weiteres Engagement gelie- 
fert werden. Das ist offensichtlich die Grund- 
problemlage des Aktivismus des Clubs, und 
sie ist inzwischen stark in den Kommunikati- 
ons- und Aktivitätsgewohnheiten stabilisiert: es 
hilft eben wenig, daß die Clubabende weitestge- 
hend daraus bestehen, rumzusitzen, zu surfen, 
ab und zu mal heimlich was zu hacken und sich 
ansonsten gegenseitig paranoid zu versichern, 
wie schlecht alles ist. 

Was also kann geändert werden? Ich will einige 
Ideen entlang der skizzierten Problembereiche 
entwickeln. Zuerst also zur inhaltlichen Präg- 
nanz. 
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Prägnanz 

Hier gibt es klare Mängel an der 
Wahrnehmung der Dringlichkeit 
des Themas Datenschutz. Sporadi- 
sche Hinweise etwa darauf, daß man 
ja vielleicht nicht gefilmt werden 
möchte, liefern auch einfach keinen 
unmittelbar bedrohlichen Konflikt. 

Die Gegenargumente sind ja 
bekannt. Überspitzt: wer braucht 
schon Privatsphäre außer Kinder- 
schändern und Betrügern? Hier 
muß allerdings nicht resigniert wer- 
den, denn es gibt ja einen grund- 
legenden Konflikt mit klarer Prä- 
gnanz: es geht um demokratische 
Werte. Das muß allerdings auch 
grundlegender präsentiert werden. 
Es muß hier die allgemeine Bedrohung deutli- 
cher herausgestellt werden, indem man einen 
zentralen Fokus darauf herstellt. 

Eine geeignete Möglichkeit der inhaltlichen 
Fokussierung besteht meiner Meinung nach in 
dem technikphilosophischen Begriff der Macht- 
Medialisierung. Der Begriff spiegelt eine These, 
die genau das ausdrückt, worum es uns geht. 
Macht-Medialisierung beschreibt einen Prozeß, 
in dem Machtbedürfnisse in Technologien mate- 
rialisiert werden. Ein Beispiel ist das Machtbe- 
dürfnis der Kontrolle durch Information, das 
sich in Überwachungstechnologien, dem ePass 
und im Data Mining medialisiert hat. 

Drei aus politischer Sicht entscheidende Ele- 
mente an Macht-Medialisierungen sind dabei, 
daß sie nicht demokratischen Prozessen unter- 
liegen (die Entscheidungen darüber werden 
nicht öffentlich getroffen), daß sie Machtme- 
chanismen in Sachzwänge umformen (jeder 
muß seine biometrischen Daten abgeben, wenn 
er einen Pass will) und daß sie leicht totalitaris- 
tisch mißbrauchbar sind (wenn sie nicht ohne- 
hin schon totalitaristische Züge tragen) . 

Und an dieser Stelle hat man bereits ein enor- 
mes inhaltliches Konfliktpotential aus einem 
einzigen Fokus. Denn das Prinzip der Kontrolle 
durch Information ist radikal antidemokratisch, 




antirechtsstaatlich und spottet dem humanisti- 
schen Menschenbild. Im staatlichen Kontrollin- 
teresse basiert es auf dem Gedanken, daß jeder 
Mensch prinzipiell ein Verbrecher ist, denn 
warum sonst sollte man Fingerabdrücke von 
allen Bürgern nehmen. Damit widerspricht der 
Staat aber inhaltlich dem Gedanken des Rechts- 
staats, indem er nicht mehr von der prinzipiel- 
len Unschuld ohne Gegenbeweis ausgeht, son- 
dern vom Gegenteil. Und er widerspricht dem 
Gründungsgedanken der Demokratie, daß Men- 
schen frei sind und selbst über ihr Leben ent- 
scheiden, indem er sie technisch-methodisch in 
dieser Freiheit überwacht und einschränkt. 

Dies kann schlicht als Grundmißtrauen gegen 
die Freiheit der Bürger angeklagt werden. 
Das allerdings ist gerade ein Grundmißtrau- 
en der Demokratie gegen ihre eigene Grundla- 
ge. Hinzu kommt nun noch das kapitalistische 
Kontrollinteresse, das auf dem Grundglauben 
an die völlige Manipulierbarkeit der Menschen 
durch „Marketing" basiert und hier ebenfalls 
dem Bild vom freien Menschen spottet. 

Da dieses destruktive und zweifelsfrei antide- 
mokratische Machtprinzip jetzt in Überwa- 
chungstechnologien, ePass und Data Mining 
medialisiert ist, muß man sich - denn es ist 
demokratische Pflicht, die Demokratie zu ver- 
teidigen - gegen diese Technologien zur Wehr 
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setzen. Hinzu kommt das Problem, daß Macht- 
Medialisierungen demokratischen Prozessen 
nicht zugänglich sind. Es gibt keine öffentli- 
chen Abstimmungen oder direkten Möglich- 
keiten zur politischen Gegenwehr gegen diese 
Technologien. 

Wir sind also umgeben von Technologien, die 
direkt Ausdruck und Mittel antidemokratischer 
und unmenschlicher Machtinteressen sind, 
ohne daß wir eine Möglichkeit des demokrati- 
schen Einflusses darauf hätten. Dieser Grund- 
konflikt ist natürlich auch als Hintergrund 
unserer Themen irgendwie bekannt, aber er 
muß eben stärker und fokussierter in den Vor- 
dergrund gerückt werden und sollte meiner 
Meinung nach die eher ungefährlichen Schlag- 
worte „Privatsphäre" und „Datenschutz" erset- 
zen. 

Natürlich muß noch mehr inhaltliche Bear- 
beitung stattfinden, propagandistische Arbeit 
sozusagen, um den Grundkonflikt wirklich 
prägnant in Formeln zu schmieden, etwa wie 
„Kontrolle ausschalten, Demokratie einschal- 
ten" oder so. Aber nur mit dieser inhaltlichen 
Klärung und Stärkung hat man überhaupt eine 
valide Substanz zum Kämpfen in der Hand. 

Präsenz 

Nach der inhaltlichen Fokussierung folgt der 
richtige Auftritt. Ein Blick auf die schlechte Prä- 
senz und zuerst auf die Medienwirksamkeit. 

Wie kann man 
in die Massen- 
medien gelan- 
gen? Hier kann 
die bisheri- 
ge Strategie 
des sachlich- 
ruhigen Auf- 
klärens eben 
nicht mehr allei- 
nig verfolgt werden, denn die 
wurde ja legitim als eine Ursache 
des Mißerfolgs des Aktivismus 
identifiziert. Es braucht vielmehr 




den Superlativ-Effekt: Sensationen müssen ins- 
zeniert werden. 

Das Problem dabei ist, wie man aus der Reak- 
tion eines Datenschützers auf eine Technologie 
eine solche Sensation macht. Ein Vorschlag von 
Rop und Frank war ja der Spaß-Guerilla-Aktio- 
nismus (vgl. „We lost the war" auf dem 22C3). 
Allerdings wird es hier vielleicht schwierig sein, 
den nötigen inhaltlichen Kontakt zur Problema- 
tik der Technik herzustellen. 

Ich will deshalb erst noch eine neue Art des 
Technik-Aktivismus als medienwirksame und 
speziell für Technik geeignete Methodik vor- 
schlagen. Sie ergibt sich aus einer einfachen 
Rechnung. Wenn nämlich bisher das sanfte 
Demonstrieren nicht gereicht hat, um die nöti- 
ge Aufmerksamkeit zu erreichen, sollte man 
vielleicht einfach den Maßstab daran ändern. 

Und exakt diese Maßstabsänderung hat jetzt 
im Rahmen von Technik einen eigenen Begriff: 
Sabotage. Und Sabotage ist für Technik-Akti- 
vismus ein ausgezeichnetes Mittel. Denn im 
Gegensatz zum normalen Zweck von politischer 
Sabotage, demonstrativ Mittel zu blockieren, 
etwa indem man Haken auf Zugstromleitun- 
gen wirft bei Castor-Demonstrationen, schal- 
tet im Fall von Technik-Aktivismus Sabotage 
auch konkret den Gegenstand des Aktivismus 
aus. Man hat den Demonstrationseffekt gleich 
gemeinsam mit dem damit angestrebten Resul- 
tat. Nicht nur Mittel werden blockiert, auch das 
konkrete Endziel wird gleichzeitig erreicht, 
denn die technischen Mittel sind ja unser Ziel. 

Der Vorteil dieser Fügung ist, daß Sabotage in 
unserem Fall ungleich mächtiger ist. Dabei sind 
verschiedene Formen der Arbeit mit Sabotage 
denkbar. Zum einen ist die öffentliche Ausgabe 
von Anleitungen (oder Programmen) zur Sabo- 
tage von Kontrolltechnologien mit dem öffent- 
lichen Aufruf zur aktiven Sabotage denkbar - 
sicherlich eine medienwirksame Aktion und 
gut als Kampagne lancierbar, wie oben schon 
erwähnt etwa als „Kontrolle ausschalten, Demo- 
kratie einschalten". 
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Dann kann man auch in Large-Scale-Operatio- 
nen selbst Sabotageakte durchführen, etwa in 
lokal organisierten Gruppen. Man könnte etwa 
versuchen, Data-Miner mit sinnlosen Informa- 
tionen zu ruinieren, öffentlich Biometriedaten 
der Bundesregierung zu hacken und im großen 
Umfang zu vernichten, alle Schufa-Einträge zu 
löschen, die auch einwandfrei als Macht-Media- 
lisierung gelten (das wäre übrigens nachgerade 
eine Heldentat für die zu Großteilen verschufa- 
te Öffentlichkeit...) oder man geht öffentlich 
im Beisein der Presse in Gruppen mit Geräten 
durch Einkaufspassagen und tötet RFID-Chips 
oder legt ePässe lahm. 

Alle Sabotageakte können anonym stattfinden. 
Wichtig ist dabei aber, daß man sich eindeutig 
auf den politischen Hintergrund bezieht, etwa 
durch Pressemitteilungen oder durch den per- 
sönlichen, anonymen, aber inhaltlichen Bezug 
auf eine größere, übergreifende Kampagne. 

Natürlich sind viele dieser Ideen illegal und, 
wenn man sie eben nicht anonym, sondern viel- 
leicht als Gruppe oder Kampagne öffentlich 
unternimmt, sicher mit Konsequenzen behaf- 
tet. Aber genau das ist ein entscheidender PR- 
Vorteil. Zum einen garantiert das eine länger 
dauernde Pressepräsenz, weiter wird diese auch 
inhaltlich stattfinden, da die Leute ja wissen 
wollen, warum man das gemacht hat, und man 
ist in der Verteidigungsposition, da die Ankla- 
gen ja von außen kommen. Mit geschickter PR 
kann man aus dieser Position ganz hervorra- 
gend Kampagnen entfalten, da man ja direkt 
demokratische Grundrechte verteidigt. 

Sollten derartige nicht-anonyme Aktionen unter- 
nommen werden, muß allerdings vorher inten- 
siv über alle Schritte Abstimmung mit einer 
auch für die Konsequenzen zur Verfügung ste- 
henden Rechtsabteilung gehalten werden. Das 
„unrechtliche" Verhalten muß in jedem Fall 
- auch bei anonymen Aktionen - sehr präzise 
sein, um die Anklage richtig zu lenken. 

Mir scheint in dieser Richtung wirklich viel 
denkbar und wenn man sich auf die völlig rich- 
tige Grundeinstellung einläßt, daß man bereits 
illegal mit Kontrolltechnologien unterwandert 



wurde und man nur die Courage der Verteidi- 
gung seiner Grundrechte als Erster übernimmt, 
ist der vielleicht etwas radikal scheinende 
Schritt zur Sabotage auch absolut reinen Gewis- 
sens empfehlbar. 

Aber auch andere Aktionen mit anderen Extensi- 
onen der Präsenz sind denkbar. Man kann etwa 
auch Infomaterial zu Datenschutz in Form von 
Postern, Präsentationen und Lehrfilmen produ- 
zieren, das an Schulen und Universitäten, even- 
tuell sogar offiziell über das Bildungsministeri- 
um oder den VDI, ausgegeben werden kann. 

Auch könnte man mehr Aktivisten in verschie- 
dene, externe Veranstaltungen schicken oder 
vielleicht sogar mal einen Stand an einem ver- 
kaufsoffenen Samstag aufstellen und Info(- und 
Sabotage-)material verteilen, etwa über die Zahl 
der Überwachungen und gesammelten Daten 
pro Einkauf. Auf jeden Fall kann und muß die 
Präsenz des Clubs auf verschiedene Arten ver- 
bessert werden. Der Kontakt zur breiten Öffent- 
lichkeit muß dauerhaft und bis zu einem knapp 
enervierenden Maß hergestellt werden und die 
bisher eher esoterische Kommunikation zwi- 
schen verschwörerischen Zirkeln im Netz, in 
den Clubs, den IT-Abteilungen, Informatikins- 
tituten und auf Fachtreffen ablösen. 

Angebot 

Zuletzt widmen wir uns dem Angebot an Akti- 
onsmöglichkeiten. Natürlich müssen die einmal 
durch den klaren Inhalt und die gute Präsenz 
aufgeschüttelten Menschen auch Möglichkeiten 
in die Hand bekommen, ihrem Unmut Luft zu 
machen und eine Änderung zu unterstützen. 

Dafür gibt es wieder eine Vielzahl an Möglich- 
keiten. Eine Möglichkeit ist das Sammeln von 
Stimmen. So kann man etwa im Rahmen einer 
umfassenderen Kampagne Gesetzesänderun- 
gen konzipieren, die zum Beispiel eine Demo- 
kratisierung von Technologien anstreben und 
dafür Stimmen sammeln. Eine andere Mög- 
lichkeit ist das Sammeln von Geld. Banner auf 
Webseiten etwa können Spenden sammeln, wel- 
che die Produktion von Infomaterial ermög- 
lichen oder gezielte, zum Beispiel eben mit 
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Sabotageakten lancierte Rechtsstreits und Kam- 
pagnen finanzieren. Und eine weitere Möglich- 
keit besteht, wie bereits erwähnt, darin, den 
Menschen die Bauanleitungen für Sabotagege- 
räte zu geben, mit denen sie einfach selbst aus- 
schalten können, was sie stört: direkter geht's 
nicht. 

Im Bereich Angebot muß auf jeden Fall noch 
viel mehr unternommen werden als bisher, 
denn hier sind Aktionen selten gewesen, und es 
fruchtet eben nicht, Menschen erst für eine Idee 
zu gewinnen, nur um sie dann damit ins Leere 
laufen zu lassen. Und da der Einzelne nicht aus 
dem Stehgreif wissen wird, wie er sich allein 
dagegen wehren kann, ist es eben unsere Aufga- 
be, dafür etwas bereitzustellen. 

Das waren jetzt einige pragmatische und grund- 
sätzliche Anmerkungen. Wie gesagt bin ich der 
Meinung, daß eher hier die Hauptquellen der 
Ineffektivität zu suchen sind als in Detailursa- 
chen. Der Club und das Thema Datenschutz ste- 
hen einfach nicht in der breiten Öffentlichkeit 
und ohne die breite Öffentlichkeit kann nichts 
verändert werden. Um den Kontakt stärker her- 



zustellen, sollten mehr Aktionen und vor allem 
heterogene und sensationelle Aktionen stattfin- 
den, die mehr Medienpräsenz garantieren. 

Um mit gutem Beispiel voranzugehen, melde 
ich hiermit mein Interesse an der Gründung 
einer präzisen und elaborierten Kampagne 
gegen undemokratische Technologie an - mehr 
oder weniger unter dem obigen Motto „Kontrol- 
le ausschalten, Demokratie einschalten". Den 
genauen Fokus können wir dann gemeinsam je 
nach unseren Möglichkeiten ausarbeiten. 

Vor allem möchte ich mal untersuchen, ob und 
wie man gezielt Sabotage als politisches Mittel 
für Technik-Aktivismus einsetzen kann. Wenn 
die oder der eine oder andere Lust hat, da mit- 
zumachen: bitte mich kontaktieren. Und keine 
Angst: wer nicht will, wird in nichts Illega- 
les verwickelt. Trotzdem brauchen wir dabei 
vor allem Rechtsberatung - falls jemand einen 
guten und inhaltlich überzeugten Anwalt kennt. 
Auch würde ich gerne mit einer Gruppe arbei- 
ten, die Infomaterial für Schulen und Univer- 
sitäten produziert. Wenn sich da auch jemand 
interessiert, bitte melden. 
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Vulnerability Markets 

What is the economic value of a zeroday exploit? 

Rainer Böhme <rainer.boehme@inf.tu-dresden.de>, 
Technische Universität Dresden • Institute for System Architecture 

Vulnerabilities are errors in Computer Systems which can be exploited to breach securi- 
ty mechanisms. Such information can be very valuable as it decides about the success of 
attack or defense in Computer networks. This essay introduces into the economic perspecti- 
ve on Computer security and discusses the advantages and drawbacks of different concepts 
for vulnerability markets, where security-related information can be traded. 



Economics and security 

What's wrong with today's Computer and net- 
work security? If you were asked by a journa- 
list to answer this question in just one concise 
sentence, you'd probably talk tech gibberish. But 
there is a very elegant answer, which is compel- 
ling as well: it's all about people and their moti- 
vations - in brief, economics. 

Researchers in both fields, Computer security 
and economics, recently found that economic 
theory can well explain why Computer security 
is so difficult despite the presence of sophistica- 
ted security technologies. For a good introduc- 
tion read Ross Anderson's seminal article[2]. 

Before discussing the effects of vulnerability 
markets, let me sketch two examples to illustra- 
te how the market fails in providing Computer 
(or network) security. The first example refers to 
the supplyside for security technology. Its theo- 
retical background is George Akerlof s famous 
lemon market problem [i]. Akerlof, meanwhile 
nobel laureate, studied the rules of a market 
with asymmetrical information between buyer 
and seller. For instance, the typical 
buyer of a second hand car can- 
not distinguish between 
good offers and bad ones 
(so-called "lemons"), 
because - unlike the sel- 
ler - he does not know 
the true story of the car. 
So he is not Willing to pay 



more than the price of a lemon. As a result, used 
cars in good condition will be undersupplied 
on the market. The same applies to Computer 
security: security is not visible, it's a trust good. 
Since the buyer is unable to differentiate secure 
from insecure products apart, the market price 
drops to the level for insecure products. Hence, 
vendors have little incentive to develop sound 
security technology and rather prefer to invest 
in more visible gimmicks. 

The second example targets to the demand-side 
of security. Its theoretical roots lie in the popu- 
lär "tragedy of the commons", another economic 
theory published by Garrett Hardin [6]. Consi- 
der a Computer network and the danger of worms 
and viruses. If the weakest node gets corrupted 
then the other nodes face a high risk of contagi- 
on and consequently face higher expected loss. 
Therefore the cost of security incidents is distri- 
buted among all nodes. On the other hand, if one 
node decides to invest in security, then all Com- 
puters in the network benefit, because the now 
secure node is less likely to cause harm to others 
from forwarded malicious traffic. In 
brief, since both risk and benefits 
are socialized between all nodes, 
individuals lack the incen- 
tive to unilaterally invest 
in security. They prefer 
to remain "free riders" 
waiting for others to pay 
in their place (who'll never 
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do so, because of the same rationale; see [14] 
for a rigorous analysis). 

To sum it all up, the lemon market suggests 
that vendors under-supply security to the 
market, whereas the tragedy of the commons 
teils us that users demand less security than 
appropriate. That's what we call a market fai- 
lure. (There are many other approaches 

TRYING TO TACKLE COMPUTER SECURITY PRO- 
BLEMS WITH ECONOMIC THEORY RATHER THAN 
WITH TECHNOLOGY. AMONG THEM IS THE 
SOFTWARE LIABILITY DISCUSSION [13], WHICH 
I OMIT FOR THE SAKE OF BREVITY.) 

A short typology of vulnerability 
markets 

There are two ways to fix a market failure. At 
first, regulation-which is least desirable as there 
are numerous examples where regulation makes 
things worse. Indeed, good regulation is real- 
ly difficult since it often implies a trusted third 
party (TTP) as "social planner", whom to make 
incorruptible is costly, if not impossible. Second, 
one can respond to a market failure by establi- 
shing new markets with mechanisms that even- 
tually feedback and thus mitigate the problems 
at their source. In this context, the following 
overview on vulnerability markets particular- 
ly addresses how well the different concepts are 
suited to solve the security market failure. 



Bug chall enges 

Bug challenges are the simplest and oldest 
form of vulnerability markets, where the pro- 
ducer offers a monetary reward for reported 
bugs. There are some real-world examples for 
bug challenges. Most widely known is Donald 
E. Knuth's reward of initially 1.28 USD for each 
bug in his TEX typesetting System, which grows 
exponentially with the number of years the pro- 
gram is in use. Other examples include the RSA 
factoring challenge, or the shady SDMI challen- 
ge on digital audio watermarking [4]. 

Depending on the value of the reward, an 
adversary would have an incentive to report the 
bug instead of exploiting it or selling it on the 
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black market. The vendor, in turn, can claim 
that the product is as secure as the amount allo- 
ted. This serves not only as a measurable quanti- 
ty but also as a means to differentiate from com- 
petitors-as security becomes measurable, the 
lemon problem vanishes. Stuart Schechter's the- 
sis [11] on vulnerability markets actually discus- 
ses bug challenges in great detail and he coined 
the term market price of vulnerability (MPV) as 
a metric for security strength. 

Although including a monetary measure, I 
would not call this concept a genuine vulnera- 
bility market, because the underlying market 
mechanism suffers from a number of imperfec- 
tions. Rather than resulting from a multi-lateral 
negotiation process, the market price is set by 
the demand side (i.e., the vendor, who demands 
vulnerability reports). Even if the vendor deci- 
des to increase the reward over time (and reset it 
after each report), the price quote is not a time- 
ly and reliable indicator for the true security of a 
product. Consider the case where two vulnera- 
bilities are discovered at the same time. A rati- 
onal agent would "seil" the first one and then 
wait with the second release until the reward has 
slowly climbed back to a worthwhile amount. In 
the meantime, the mechanism fails in aggrega- 
ting the Information about the security. Hence, 
prudent users would have to stop using the pro- 
duct in critical environments until the reward 
Signals again the desired level of security. 
Obviously, this is not very realistic. 
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Bug auctions 

Bug auctions offer a different theoretical fra- 
mework for essentially the same concept as bug 
challenges. Andy Ozment [9] first formulated 
bug challenges in the terms of auction theory, 
in particular as a reverse Dutch auction, or an 
open first-price ascending auction. This allo- 
wed him to draw on a huge body of literatu- 
re and thus add a number of efficiency enhan- 
cements to the original concept. However, the 
existence of this market type still depends on 
the initiative of the vendor. (2 Though not consi- 
dered in Ozment's work, one can certainly con- 
ceive other types of bug auctions independent 
of the vendor: for example, offering new explo- 
its on E-Bay (see http://archives.neohapsis.com/ 
archives/ dailydave/2005-q2/o3o8.html). This 
sort of blackmailing the vendor and all honest 
users is definitively not a welfare maximizing 
strategy. And it does not provi 
de any useful Information 
on security strength when 
there is no vulnerability for 
sale.) On the one hand, this 
is an advantage because 
this market type can easily 
bootstrap-apart 
from the need 
of a trusted 
third party. 
On the other 
hand, the 
Cooperation 
and financial 
commitment of 
the vendor makes it 
difficult to use this kind of market mechanisms 
for small vendors and for open source Software 
in general. (Mozilla Foundation's "Securi- 
ty Bug Bounty" program is a commendable 

EXCEPTION: IT REWARDS EACH REMOTE vulnera- 
bility report with 500 USD.) Moreover, it is 
questionable whether the rewards offered will 
ever be high enough to provide an appropriate 
counterbalance to the assets at risk for Software 
with large installation bases in critical environ- 
ments, such as finance, healthcare, or govern- 
ment agencies. After all, even Professor Knuth 
opted for an upper limit to his exponential 
payoff function for bug hunters in TEX ... 




very 



Vulnerability brokers 

Vulnerability brokers are often referred to as 
"vulnerability sharing circles". These clubs are 
built around independent organizations (mostly 
private companies) who offer money for new vul- 
nerability reports, which they circulate within a 
closed group of subscribers to their security alert 
Service. In the Standard model, only „good guys" 
are allowed to join the club. The customer bases 
are said to consist of both vendors, who thus 
learn about bugs to fix, and corporate users, who 
want to protect their Systems even before a patch 
becomes available. With annual subscription 
fees of more than ten times the reward for a vul- 
nerability report, the business model seems so 
profitable that there are multiple players in the 
market: iDefense, TippingPoint, Digital Arma- 
ments, just to name a few. 

If I were 
to clas- 
sifyCERT 
(Computer 
Emergency Response 
Team) in this typology, I 
would probably sub- 
sume it here. It also 
acts as a vulnerabili- 
ty broker, albeit on a 
non-profit basis. It 
does not pay any 
reward for repor- 
ting vulnerabi- 
lity Information 
and disseminates that Informa- 
tion for free. In a recent paper, Karthik Kannan 
and Rahul Telang [7] compare the social welfare 
of vulnerability markets (more precisely: vulne- 
rability brokers) and the CERT approach. They 
conclude that CERT acting as a social planner 
always performs better than commercial bro- 
kers. (Note that the authors come from 
Carnegie Mellon University, which hosts 
the headquarters of cert.) 



Exploit derivatives 

Exploit derivatives transfer the mechanism of 
binary options from finance to Computer secu- 
rity. Instead of trading sensitive vulnerabili- 
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ty information directly, the market mechanism 
is build around contracts that pay out a defined 
sum in case of security events. For instance, 
consider a contract that pays its owner the sum 
of 100 EUR on, say, June 30th 2006 if there 
exists a remote root exploit against a precisely 
specified version of ssh on a defined platform. It 
is easy to issue this kind of contracts, since you 
would seil it as a bündle with the inverse con- 
tract that pays 100 EUR if the ssh program is not 
broken within the maturity. Then, different par- 
ties can trade the contracts on an electronic tra- 
ding platform that matches bid and ask prices, 
settles the deals, and publishes the price quotes 
from the order book. The price is freely negot- 
iable and reflects the probability of occurrence 
of the underlying event at any time. (5 For sim- 
plicity, I refrain from discussing interest rates, 
which can easily be handled by selling the bund- 
les with a deduction equivalent to the return 
from a reference interest rate over the remai- 
ning maturity.) If ssh is considered as very secu- 
re by the market participants, then the first con- 
tract would be traded for, say, 1 EUR, whereas 
the second for 99 EUR. 

The accuracy of the price information depends 
on the liquidity of the market, hence the num- 
ber of participants. This market, however, 
attracts far more groups of participants than the 
previous market types: Software users would 
demand contracts paying on breaches in order 
to hedge the risks they are exposed to due to 
their compute network. The same applies for 
insurance companies underwriting their custo- 
mers' cyber-risks. Investors would buy the inver- 
se contract to diversify their portfolios. Software 
vendors could demand contracts that pay if their 
Software remains secure as a means to signal to 
their customers that thy trust their own System; 
or contracts that pay if their competitors' Soft- 
ware breaks. One could even conceive that Soft- 
ware vendors use exploit derivatives as part of 
their compensation schemes to give developer 
an incentive to secure programming. 

Finally, security experts could use the market 
to capitalize effort in security analyses. If, after 
a code review, they consider a Software as secu- 
re, they could buy contracts on the secure State 
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at a higher rate than the market price. Otherwi- 
se they buy contracts that pay off on vulnerabi- 
lities and afterwards follow their preferred vul- 
nerability disclosure strategy. As any interaction 
with the market influences the price, the quo- 
tes can be used as reliable indicators for security 
strength. Note that this concept does not require 
the cooperations of the vendor, and the num- 
ber of different contracts referring to different 
pieces of Software, versions, localizations, etc., is 
solely limited by demand. 

The concept requires a trusted third party as 
well to test candidate exploits at the end of each 
contract and announce the resul. However, if the 
TTP is required to publish the exploit together 
with the announcement, it becomes verifyable 
and cannot cheat. The job can also be distribut- 
ed to a number of TTPs. Hence, the assumpti- 
ons about the TTP are much gentler in this sce- 
nario than in other market types. 

Cyber- insurance 

Cyber-insurance is among the oldest proposals 
for market mechanisms to overcome the securi- 
ty market failure (see [5, 8, 12, 13, 15]). The logic 
that eures the market failure goes as follows: 
end users demand insurance against financial 
losses from information security breaches and 
insurance companies seil this kind of coverage 
after a security audit. The premium is assu- 
med to be adjusted by the individual risk, which 
depends on the IT Systems in use and the secu- 
rity mechanisms in place. Therefore it would be 
costly to buy insurance coverage for less secure 
Software. This gives users an incentive to invest 
in security technology. One would even raise the 
willingness to pay more for secure produets if 
- in the long run - the total cost of ownership 
including insurance premiums is below the 
expenses for a less secure produet. 

However, despite the presence of potent insu- 
rance companies, there is surprisingly litt- 
le supply for cyber-insurance contracts. One of 
the reasons for this undersupply is the fact that 
insurance companies hesitate in underwriting 
cyber-risks, because the losses from virus out- 
breaks and worms are highly correlated global- 
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ly. This concentration of risk is contrary to the 
insurance principle of portfolio balancing (see 
[3]). Apart from the fear of "cyber-hurricanes", 
there are other operational obstacles, such as 
the difficulty to substantiate claims, the intan- 
gible nature of cyber-assets, and unclear legal 
grounds. 

Boon or bane? 

We have seen that quite a number of possib- 
le instances for vulnerability markets is concei- 
vable. So the question to answer is whether we 
are better off with or without them - frankly, 
shall we hype or fight them? It is obvious that 
any claim of a universal answer to this questi- 
on cannot be serious, so the remainder of this 
essay tries to collect arguments for and against 
the markets, and in particular the pros and cons 
between different market types. 

To judge the markets it is useful to dehne a set 
of criteria. An ideal vulnerability market fulfills 
three functions: first, the Information function 
refers to the ability to use market prices as for- 
ward-looking indicators of security properties. 
This is important to counter the lemon effect. 
Second, the incentive function allows monetary 
compensation for security research and develop- 
ment. It motivates firms and individuals to give 
security a higher priority. Third, the risk balan- 
cing function means, that the market provides 
instruments to hedge against large informati- 
on security risks. This is important to mitiga- 
te the financial impact of (occasional) securi- 
ty breaches, which may help firms to survive a 
virus attack rather than filing for bankruptcy 
with all its adverse social and economic cons- 
quences. Orthogonal to these functions, market 
efficiency is a criterion under which I subsume 
other desirable properties, such as low transac- 
tion costs, liquidity, transparency (public quotes, 
fair rules), and accountability (low counterparty 
risk). Table 1 compares the different types of vul- 
nerability markets along the defined criteria. 

Both bug challenges and bug auctions provi- 
de vulnerability hunters with an incentive to 
report and also give developers a motivation to 
take security more seriously. However, there is 



no possibility for risk balancing at all, and the 
information obtained from the market price is 
only a lower bound, which fails to be accurate 
when vulnerabilities are reported frequently. As 
to efficiency, the vendor has to bear most of the 
bürden and the existence of a market depends 
on his Cooperation. Vulnerability brokers (exclu- 
ding CERT) do worse because they create ques- 
tionable incentives (i.e., for bad boys to join the 
circle) and deliver no information to the public 
at all. It appears that exploit derivatives and 
cyber-insurance are both acceptable, with explo- 
it derivatives having an advantage as timely indi- 
cator whereas cyber-insurance gets a deduction 
in efficiency due to the presumably high trans- 
action costs. What's more, both concepts com- 
plement one another. Please note the limitations 
of this qualitative assessment, which should be 
regarded as a starting point for discussion and 
exchange of views. 

There is also room for more general critiques on 
the market approach. One might question if vul- 
nerability hunting actually leads to more secure 
products (see [10] for a discussion and evidence 
for vulnerability hunting), so why bother put- 
ting market incentives in place for something 
allegedly useless? Moreover, we all know that 
markets tend to err in the short term - but it's 
still very difficult to outpace existing markets in 
the long run. Therefore we need to assess the 
harm a "vulnerability market bubble" potential- 
ly causes, and weight it against the welfare gains 
from better information, more secure products, 
and the possibility to hedge information secu- 
rity risks. Finally, there remains to be written a 
chapter on conflicts of interest. 

To conclude, we have seen that economic models 
can well explain the Computer security dilemma 
and that vulnerability markets are a way to tack- 
le the problem. However, there is not one "vul- 
nerability market" but rather a family of diffe- 
rent concepts. After regarding their individual 
mechanisms, it becomes evident that the mar- 
ket types close to reality, namely bug challenges 
and vulnerability brokers, are not the best pos- 
sible Solutions. 
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Back to the journalist's question at the begin- 
ning, how would you answer in, say, 20 years 
when Computer security is so important that it 
has entirely melted into finance? You would pro- 
bably mention the New York Stock Exchange 
having closed with a 5.23 % decline in the Stan- 
dard & Poor's composite kernel hardness index. 
So it's only a matter of time when the next big 
kernel exploit hits the cyber-world . . . 

The author gratefully acknowledges the valuable 
comments he received from Thorsten Holz and 
Gaurav Kataria. 
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Chaosradio Podcasting 

von Tim Pritlove <tim@ ccc.de> 

Seit November 2005 ist das Chaosradio auch als Podcast zu empfangen. Dem seit über 10 
Jahren laufenden Format wurde dazu noch ein reiner Podcast unter dem Namen Chaosra- 
dio Express hinzugefügt. Podcasting ändert die Medienlandschaft - und Chaosradio. 



Der gemeine Nerd reagiert mithin genervt, 
wenn man ihn mit dem Hype der Woche kon- 
frontiert, und in gewisser Hinsicht ist dieser 
Selbstschutz verständlich, um sich nicht von 
den wirklich wichtigen Dingen ablenken zu las- 
sen. Doch hin und wieder ist der aktuelle Trend 
auch ein wichtiger Baustein für eine digitale 
Welt, wie wir sie uns wünschen. Podcasting ist 
einer davon. 

Als das Web erfunden wurde, lautete die 
ursprüngliche Vision, daß hier jeder lesen und 
publizieren könne. Es dauerte einige Jahre, 
bis das Web auch den zweiten Teil dieser Ver- 
heißung liefern konnte. In den letzten Jahren 
wurde das Veröffentlichen der grundlegen- 
den Datenarten (Text, Ton und Bild) Schritt für 
Schritt für jedermann beherrschbar; in Form 
von Weblogs, Podcasts und Video Podcasts. 

Man mag zu Recht einwenden, daß das reine 
Publizieren dieser Inhalte schon länger möglich 
gewesen ist, im Prinzip von Anfang an. Doch 
waren eine zu geringe Bandbreite, mangelhaf- 
te oder ganz fehlende Werkzeuge und ein For- 



matwirrwarr lange Zeit hinderlich. Was aber 
noch viel wichtiger wog: es fehlte ein akzeptier- 
ter und den modernen Konsumgewohnheiten 
entgegenkommender Standard, um die Inhalte 
zu beziehen. Weblogs haben hier mit RSS eine 
populäre und brauchbar skalierende Lösung 
gefunden. 

Das Abonnement 

Während das wilde Herumklicken im Netz 
seinen Reiz hat, ist es für einen stukturierten 
Bezug von Informationen ungeeignet. Dinge 
lassen sich im Netz schnell finden, aber um so 
schwieriger wiederfinden. Hat man einmal eine 
aufschlußreiche Quelle gefunden, die auch in 
Zukunft Aufschlußreiches verspricht, möchte 
man "dranbleiben". Die Subkription der Inhal- 
te liegt nahe, und in den Jahren wurde viel mit 
Push- und Pull-Methoden experimentiert. Ver- 
schiedene Lösungen kamen und gingen. 

Die simple Struktur von Weblogs führte 
schließlich zur Entwicklung von RSS, welches 
sich letztlich als "good enough" und "simple 
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enough" herausstellte, um breiten Anklang zu 
finden. Die schiere Zahl von Blogs (ca. 35 Mil- 
lionen, wenn man „Technorati" Glauben schen- 
ken darf) und die hohe Beteiligung der Leser in 
Form von Kommentaren und Trackbacks zeugt 
von dieser Akzeptanz. 

1994 darf als das Jahr gelten, in dem Blogs sich 
als führende Kommunikationsform für Textin- 
halte etabliert haben. In der Folge wurde RSS 
als technische Basis schnell durch Browser und 
spezialisierte Leseprogramme zum De-Facto- 
Standard für Text Broadcasting (interessanter- 
weise wird der "Push" auf Basis einer Pull-Tech- 
nologie durchgeführt). 

Nach einem eine Weile währenden religiösen 
Krieg in der RSS -Szene konnten sich die Prag- 
matiker gegen die Anhänger des semantischen 
Webs technisch durchsetzen. Spricht man heute 
von RSS, meint man RSS 2.0. Mit Atom 1.0 gibt 
es auch schon eine W3C -Variante zur mittel- 
und langfristigen Migration. For the time being 
ist RSS allerdings das Maß der Dinge. 

Podcasting 

Die Idee, RSS als Distributionsmedium für 
große Mediendateien zu verwenden, fand schon 
recht früh Einzug in den RSS -Spezifikationen. 
Eine "Enclosure" ist nicht viel mehr als ein Link 
auf die entsprechende Datei, der dem Empfän- 
ger die Möglichkeit bietet, diese ggf. automa- 
tisch herunterladen zu lassen. Im Prinzip war 
die Vision der Verbreitung von Radio- und Fern- 
sehsendungen in Form einfacher Dateien auf 
Abonnementbasis damit bereits auf dem Tisch. 
Es dauerte aber eine Weile, bis diese Methode 
auch Anwendung erfuhr und auf breites Inter- 
esse stieß. 

Die Gründe dafür sind vielfältig. Zunächst war 
es nötig, daß RSS selbst die nötige Akzeptanz 
fand. Internet Flatrates und die Verbreitung 
portabler Abspielgeräte legten dafür in der Folge 
die Grundlage. Mit der Veröffentlichung des 
ersten dedizierten Podcast-Clients (iPodder), 
der die automatisierte Übermittlung der Inhal- 
te von der Quelle (dem Webserver) zum porta- 
blen Abspielgerät sicherstellte, war das System 



komplett. Nun konnten selbst produzierte Sen- 
dungen mit dem Komfort von Radiosendern 
mithalten und boten darüberhinaus durch die 
Möglichkeit des zeitversetzen Anhörens zusätz- 
liche Vorteile. Das Abo-Prinzip von RSS tat sein 
Übriges, den heutigen Bedarf nach individu- 
alisiertem Medienkonsum zu bedienen. 2005 
war schließlich das Jahr, in dem Podcasts ihren 
Durchbruch feiern durften. 

Chaosradio 

Mit dem Format Chaosradio hatte der Chaos 
Computer Club schon seit Jahren ein alternati- 
ves Sendeformat, das dank der Unterstützung 
durch den Sender Fritz im Raum Berlin/ Bran- 
denburg per UKW und via Satellit in ganz Mit- 
teleuropa zu empfangen war. Schon früh haben 
wir zusätzlich den Live-Empfang durch die Ein- 
richtung eigener Streaming Server im Internet 
ermöglicht; Aufzeichnungen der Sendungen 
fanden stets ihren Weg ins Netz und erfreuten 
sich dort großer Nachfrage. 

Podcasting war für Chaosradio ein naheliegen- 
der Technologiesprung und im November 1995 
war es soweit, daß die Sendungen nun auch via 
RSS abonniert werden konnten. Binnen kür- 
zester Zeit wurde das Angebot von tausenden 
Hörern angenommen. 

Die Bindung an die Hörer wurde dadurch deut- 
lich verstärkt, zumal der notwendige Aufwand, 
den Aufzeichnungen der Sendungen habhaft zu 
werden, deutlich sank. Die Reichweite von Cha- 
osradio wurde dadurch schlagartig erweitert, 
und man darf sich fragen, ob die Hörerquote 
aus dem Internet nicht sogar die der klassischen 
Broadcast-Technologien spürbar übersteigt. 

Chaosradio Express 

Podcasting ist zunächst nur eine Technologie, 
die aber wie soviele neue Kommunikationsfor- 
men in Kürze auch ihre eigene Kommunka- 
tionskultur hervorbrachte. Ein Podcast ist im 
Vergleich zum klassischen Radio spürbar per- 
sönlicher und interaktiver. Die Einbeziehung 
von Feedback der Hörer, ein grundsätzlich ent- 
spannterer Stil und die hohe Experimentier- 
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freude der Podcaster war von 
Anfang deutlich wahrnehmbar 
und führte binnen kürzester 
Zeit zu einer kulturellen Viel- 
falt, die man im Radio schon 
immer sträflich vermißte. 

Dieses Maß an Interaktivität ließ 
sich auch im Chaosradio immer 
schwer erreichen. Gebunden 
durch die vorgegebene Sende- 
dauer (3 Stunden) und Sende- 
frequenz (einmal im Monat) 
war diese Interaktivität nicht so 
ohne weiteres herstellbar. Dazu 
kam, daß Chaosradio nur weni- 
ge feste Teammitglieder hat 
und die Besetzung von Thema 
zu Thema wechselte. Darüber 
hinaus gibt auch das Sendefor- 
mat "Blue Moon" - der tägliche 
"Talk Radio" Slot von Fritz - in 
gewisser Hinsicht einen Rah- 
men vor. Zwar ist die Einblendung von stünd- 
lichen Nachrichten, Radio Jingles und das Ziel, 
die Hörer stets zum Anrufen in der Sendung zu 
motivieren, an sich nichts Dramatisches. Doch 
eignen sich nicht immer alle Themen in dem 
Maße zum Dialog mit Hörern, wie es vielleicht 
wünschenswert wäre. Es war klar, daß sich Cha- 
osradio selbst durch den Einsatz von Podcasting 
nicht stark weiterentwickeln würde. 

Das brachte mich auf die Idee, dem bekannten 
Format ein zusätzliches, auf die Möglichkeiten 
des Podcastings zugeschnittenes Programm 
hinzuzufügen, daß in einem höheren Maße das 
Feedback der Hörer einbindet und seine The- 
men noch flexibler wählen kann, da auch der 
Zwang zum Dreistünder entfällt. Chaosradio 
Express war geboren und hat in rund einem hal- 
ben Jahr etwa 24 Sendungen produziert. 

It's Feedback Time 

Die Rückmeldung auf die Einführung eines rei- 
nen Podcasts waren reichhaltig. Binnen eines 
halben Jahres hat das Chaosradio -Team mehr 
E-Mail erhalten, als in den letzten zehn Jahren 
zuvor, und die Bereitschaft, die Themen durch 



Kommentare und Vorschläge mitzugestalten, 
ist deutlich zu erkennen. 

Das Aufkommen des Phänomens des Audio - 
kommentars gibt dem Ganzen nun noch eine 
neue Ausrichtung. Durch die kürzeren Publi- 
kationszyklen (Chaosradio Express versucht, 
ca. eine Epsiode pro Woche zu veröffentlichen) 
kann man Themen über einen längeren Zeit- 
raum von Sendung zu Sendung tragen und 
quasi einen Dialog eröffnen, der aber immer 
noch durch die Moderation getragen ist. Es ist 
absehbar, daß diese Diskussionsform weiter 
an Popularität gewinnt und sich am Ende viel- 
leicht zu einer Art Audio-Usenet entwickelt. Wo 
man bislang nur dem geschriebenen Wort eine 
Chance bot, wird dann mit klaren, gesproche- 
nen Worten diskutiert. 

Hörer sind keine Leser 

Ein interessantes Phänomen des Podcastings 
ist, daß die Zielgruppe sich nur partiell mit der 
von textbasierten Medien wie reinen Weblogs 
überschneidet. Hörer sind keine Leser und 
umgekehrt. Natürlich gibt es auch hier den fort- 
geschrittenen Mediengeek, der sich an Quel- 
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len aller Art nicht sattlesen/hören/sehen kann, 
doch ist dies sicherlich nicht die Regel. Die ein- 
fache Erkenntnis ist, daß Podcasts eine neue 
Gruppe der Gesellschaft erschliessen, der das 
textlastige Internet bislang zu schwierig zu 
ergründen schien. 

Dazu kommt die Qualität des gesprochenen 
Wortes, die gegenüber Text doch zahlreiche 
Vorteile bietet. Wer kennt sie nicht, die Flame 
Wars auf Mailinglisten, Foren und Kommentar- 
zonen, die sich meist um Nichtigkeiten drehen 
und ihre Kraft aus Mißverständnissen ziehen - 
vorsätzlichen oder ungewollten. Hier verpufft 
viel Energie, die sich besser nutzen ließe. 

Der Klang der Stimme erlaubt es, auf Smileys 
zu verzichten. Der Mensch ist in der Lage, Iro- 
nie und Gefühlslage ohne technische Hilfsmit- 
tel aus dem gesprochenen Wort herauszufiltern. 
Dies macht es einfacher, Einblick in Sachver- 
halte zu verschaffen, und birgt große Chancen, 
komplexe Themen in einer Kompaktheit zu ver- 
mitteln, wie es mit Text kaum machbar wäre. 
Dies gilt noch vielmehr für Interviews und 
Gesprächsituationen, in denen man sehr dyna- 
misch hinterfragen, erklären und variieren 
kann. Einem solchen Gespräch eine 
halbe Stunde zu lauschen, erfor- 
dert zwar ein gewisses Zeitinve- 
stiment, doch ist die Vorstel- 
lung, dem selben Gespräch 
in Form eines Trans- 
kript zu folgen, geradezu 
absurd. Nicht jeder hat 
die Gabe, wie ein profes- 
sioneller Schauspieler 
einen Wortwechsel 
in geschriebe- 
ner Form so zu 
erfassen, daß 
man danach 
noch weiß, 
welche Akteu- 
re sich in wel- 
cher Art geäu- 
ßert haben. Wer 
glaubt, Podcasts 
würden zuviel Zeit kos 
ten, soll- 



te hier kurz innehalten - in vielen Situationen 
kann ein Podcast vielmehr als effektive Zeiter- 
sparnis dienen, vorausgesetzt, die Diskutanten 
sind in der Lage, ihr Wissen oder ihre Meinung 
auch klar zu formulieren. Dies gilt aber für Text- 
kommunikation im gleichen (wenn nicht noch 
größeren) Maße auch. 

Podcasten Sie! 

Für eine Bewegung wie den Chaos Compu- 
ter Club ist der Podcast ein starkes Instrument 
in der Unterstützung seiner Ziele. In den letz- 
ten Jahren haben sich Chaosradio-artige Pro- 
jekte nur dort entwickelt, wo auch ein Zugriff 
auf UKW-Frequenzen bestand. Durch Podcas- 
ting fällt dieses Bedürfnis weg. Der technische 
Produktionsaufwand ist gering und der für die 
Publikation ebenfalls. Ideale Voraussetzungen 
für den Revolutionär von morgen. 

Ich möchte Euch daher ermutigen, über Pod- 
casts nachzudenken und es im Zweifel einfach 
mal zu versuchen. Trial and Error haben hier 
die gleiche Bedeutung, und es ist immer wich- 
tiger, es versucht zu haben, als nur darüber 
nachzudenken. Das Müßte- 
Man-Mal-Syndrom ist 
des Aktivisten Feind 
auf allen Ebenen. 
Wer eine Stim- 
me haben will, 
muß sie erhe- 
ben, und nie 
war es ein- 
facher als 
heute, die- 
ses auch 
zu 
tun. 
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Setzen wir mal ein Wiki auf 

von Philipp, Paul und Philip 

Es ist noch ein wenig surreal, das Gefühl. Ich sitze hier tatsächlich im Metalab, und ich 
meine damit nicht "ich habe die Wikiseite offen und lese über die Visionen". Böse Zungen 
behaupteten ja, nach einem halben Jahr Wiki(-only) Aktivität ohne echte Aussicht auf Real- 
World-Implementierung, der Name sei gut gewählt: Meta. 



Aber nun ist es soweit: 

Hier in der Rathausstraße 6 des i. Wiener 
Gemeindebezirkes, gleich hinter dem Rathaus 
und ein paar Gehminuten von der Uni Wien, ist 
ein leuchtend Loch in der Wand. 200 qm, wie 
die Wikiseite behauptet, "für meta-disziplinäre 
Magier und technisch kreative Enthusiasten". 

Ja, Pathos laß nach, aber nach den ersten Bli- 
cken durch die verstreuten Reihen von Hackern, 
dem Ambiente, dem Schmuck an den Wänden 
geurteilt - vielleicht doch nicht so fern von der 
Realität, wie es sein könnte. 

Vor mir sitzen Paul Böhm - manchen als typo 
von der Gruppe Teso bekannt - und Philipp 
Tiefenbacher alias wizard23. Jene zwei, die zu 
Recht von sich behaupten können, die erste 
Wikiimmobilie in Wien gegründet zu haben. 
Ihnen stelle ich, repräsentativ für die vielen Mit- 
wirkenden, einige Fragen zum Werdegang und 
Selbstverständnis dieser Institution in spe. 



Q: Was war die Motivation für die Gründung des 
Metalahs? 

Philipp: Es hat's noch nicht gegeben. Aber es 
hat schon gefehlt. 

Paul: Weil's in Wien bereits viele Leute gege- 
ben hat, die coole Projekte gemacht haben, aber 
sich gegenseitig nicht kannten. Hauptsächlich 
hat da eigentlich der Platz gefehlt, und damit ist 
nicht das Beisl beim Stammtisch gemeint. Und 
natürlich waren wir neidisch auf gewisse andere 
Plätze in Europa, wo wir bereits die Erfahrung 
machten, daß Projekte von einem nicht virtuel- 
len Treffpunkt profitieren. 

Philipp: Ein Beispiel: Ich hab seit einigen Mona- 
ten einen Borland C Compiler gesucht, und 
hätte auch keinen gefunden. Meine alten Dis- 
ketten kaputt, sonst auch nichts hilfreiches zu 
finden. Aber hier find ich plötzlich einen "Bor- 
land C++ in 21 Tagen" Band. Und einen Compi- 
ler. Und jetzt kann ich meine alten Sourcen wie- 
der compilen... 
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Q: Wer hatte die ursprüngliche Idee zum Meta- 
lah? Und wann? 

Paul: Wer ... es gab schon mehrfach Bestre- 
bungen, in Österreich so etwas zu starten. Die 
Leute rund um die Chaos Nahe Gruppe Wien 
(CNGW) haben das auch schon versucht, waren 
aber anscheinend zu klein. Die Idee von Phi- 
lipp und mir für ein Vorgängerprojekt gibts auf 
Wikiseiten seit zwei Jahren. Der jetzige Name 
und das jetzige Projekt ist vor einem Jahr bei 
einem Treffen von Funkfeuer entstanden, wo 
es um Ideenfindung zu so einer Location ging. 
Einen Monat später gab's dann ein initiales Tref- 
fen mit ca. 30 Leuten, von denen immer noch 
viele dabei sind, viele andere kamen später noch 
dazu. Der Vorstand etwa lernte sich auch erst 
durch reale Treffen kennen. 



Open-Source-Kultur, aber aus mehr Bereichen 
als nur Computer". Schön wo reinzukommen, 
wo ein Monkey Island Zitat nicht verständnislo- 
ses Schweigen auslöst. 

Paul: Fragt sich nur, wie oft der durchschnittli- 
cher Metalab Besucher Sex im Monat hat? 

Philipp: Fragt sich bevor oder nachdem es das 
Metalab gab ... 

Q: Welche Personen und Vereine haben maßgeb- 
lich bpivptracxr.n'? 



Philipp und Paul: Zuviele zum auflisten. Aber 
wirklich wichtig waren Funkfeuer für schnelles 
Netz, CNGW für das Easterhegg und die Mitar- 
beit, und viele, viele Einzelpersonen. 



Q: Wieviel von der anfänglichen Vision hat den 
Weg zur Realität gefunden? 

Philipp: Erstaunlich viel! 

Paul: Es ist besser gelaufen als geglaubt, wir 
dachten, wir müßten viel kleiner starten. Aber 
wir haben jetzt auch viele Privatpersonen ange- 
sprochen, die überhaupt noch nicht von einer 
anderen Szene oder Gruppierung eingesam- 
melt wurden. 

Philipp: Ich bin sehr überrascht, daß es so 
läuft wie es läuft. Ich denke, dadurch daß das 
schon als rein virtueller Platz sehr gut funktio- 
niert hat, war der Übergang in den realen Raum 
so reibungslos. Es kommt mir vor wie gelebte 



Q: Wie ist Euer Verhältnis zur CNGW, dem Wie- 
ner Erfakreis des CCC? War Euer Projekt nicht 
ursprünglich ein Ansinnen der CNGW? 

Philipp: Öhh... 

Paul: Ääh ... wir zielen auf Infrastruktur ab. 
Wir fänden's wichtig, daß der CCC hier Projekte 
macht, und zum Beispiel camdome wieder auf- 
leben läßt. Und natürlich auch, daß wir Leute 
anziehen, die vorher noch nichts mit dem CCC 
zu tun hatten. Wir sind keine CCC-Mitglieder, 
aber auf jeden Fall gerne im Dunstkreis zu fin- 
den. Aber bestimmt ist jetzt eine Neuausrich- 
tung der CNGW nötig. 




dip datprischLpudpr. # gn / muh 



37 



1 



LABBER-MATE 



Q: Wievielvom Vereinszweck der CNGWist, nicht 
zuletzt durch die starke Personalunion, im Metalab 
aufgegangen? 

Paul: Das Metalab ist per Vereinsstatut ein rei- 
ner Infrastrukturanbieter. 



Philipp: Technisch. 

Paul: Sozial, eher nicht politisch. 

Q: Was sind die aktuellen Projekte, worüber freut 
Ihr Euch? 



Q: Es stehen Kisten von Club Mate in Frucadekis- 
ten (österreichisches Erfrischungsgetränk, Anm.) 
herum, viele Elemente, Schmuck und Projekte erin- 
nern an C-Base, FoeBuD und Konsorten. Weite 
Teile Eurer Identität scheinen also noch nach deut- 
schen Vorbildern zu leben. Wie seht Ihr das? 

Paul: Wir haben, um das Projekt umzusetzen, 
Kultur importiert. Kultur, die teilweise für uns 
normal ist. Aber es wird sicher eine große Her- 
ausforderung, unsere eigene Identität zu fin- 
den... 

Philipp: ... aber das ist ein normaler Prozeß. 

Q: 2oEUR/Monat Mitgliedsbeitrag, 1600EUR/ 
Monat Miete. Auch zusammen mit der Förderung 
der Stadt Wien scheint die Finanzierung ledig- 
lich mittelfristig gesichert zu sein. Wie gedenkt Ihr, 
Euch weiter zu finanzieren? Wie steht Ihr zu Leu- 
ten, die diesen Mitgliedsbeitrag nicht zahlen wollen 
oder können? 

Philipp: Wenn Leute sich das nicht leisten kön- 
nen, gibt es vereinzelt die Möglichkeit, daß sie 
trotzdem kommen können. 

Paul: In der C-Base liegt der Mitgliedsbeitrag 
auch bei 17 EUR. Hätten wir mit einer kleineren 
Location begonnen, wär's schwieriger gewesen, 
und hätte vielleicht nicht zur Verwirklichung 
geführt. Und diese Location bietet einiges für's 
Geld. Aber wir planen, es zu senken, wenn wir 
es uns leisten können. 

Philipp: Wär die Location nicht so zentral gele- 
gen, wär's nicht annähernd so lebendig wie 
im Moment, die Anforderungen sind also voll 
erfüllt. Die Einstiegsdroge muß leicht erreich- 
bar sein. 



Philipp: Das Metaschild, mit 64 einzeln steuer- 
baren LEDs ... die Hardware ist schon fertig, wir 
basteln nur noch an der Software und den Algo- 
rithmen. Auf die Roboter freu ich mich, und 
zelluläre Automaten sind hier auch schon (wei- 
ter) entwickelt worden. 

Paul: Diverse Softwareprojekte, darunter eine 
P2P-Filesharing-Applikation (quaffler), einige 
google-maps-Hacks, Spielereien mit Gl S -Daten, 
und einige, die ich nicht nennen will, weil sie 
noch in Entwicklung sind. 

Philipp: Und ein Einsteins "game of gravity" 
aka Gravitationsloch für Spendengelder. 

Q: Was wollt Ihr den Leuten sonst noch sagen? 

Paul: Das Metalab ist ja eigentlich nur Infra- 
struktur. Schaut vorbei, und bringt eure Projek- 
te mit. Das Metalab lebt ja erst durch die Mitglie- 
der und Projekte, die hier umgesetzt werden. 

Philipp: Damit das Mögliche entsteht, muß 
immer wieder das Unmögliche versucht wer- 
den, das ist aber nicht von mir. Wir haben eine 
Menge anzubieten: Eine komplette Hardware- 
basteiwerkstatt mit u.a. Oszilloskop, Labornetz- 
teil, Lötstation und allem, was man zum Robo- 
terbasteln so braucht; sowie eine ausgerüstete 
Küche, eine coole Bibliothek, einen Wutzier und 
space invaders an der Wand. 

Wann und Wo und Wie genau das mit dem 
Metalab ist, erfährt man im Metalab Wiki unter 
http://www.metalab.at/, das detaillierte Angaben zu 
Organisationsstruktur, Menschen und Zielen 
enthält, ebenso wie zu wichtigen Terminen und 
Projekten. 



Q: Wie seht Ihr den Wirkbereich des Metalab? 
Eher politisch oder technisch? 
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FIFA WM 1984™ 

von <Brudy_H4ck@gmx.net> 

Ich bin im IT-Betrieb eines deutschen Konzerns tätig und dabei u.a. für den Einkauf von 
IT- Services zuständig. Anfang April wurde ich nun von einem unserer Dienstleister zu 
einer Veranstaltung während der FIFA Fußball- Weltmeisterschaft Deutschland 2006™ 
eingeladen, um mir die Services, die dieses Unternehmen im Rahmen dieser Veranstal- 
tung erbringt, einmal anzusehen. 



Um an dieser Veranstaltung teilnehmen zu 
können, brauche ich lediglich einige Angaben 
zu meiner Person machen und mich mit der 
Datenschutzinformation der Abteilung Akkre- 
ditierung der FIFA Fußball-Weltmeisterschaft 
Deutschland 2006 einverstanden 
erklären. Ich bin nicht nur ein 
gesetzestreuer Staatsbür- 
ger, sondern auch papy- 
rophil (sprich Papier 
liebend) und habe auf- 
grund dieser Eigen- 
schaft die Dokumente 
vollständig gelesen. 



I 





Welche 

Informationen werden 
abgefragt? 



Abgefragt werden zum einen Informationen, 
die sich auf das jeweilige „Event" beziehen wie 
„Event Name", „Event Funktion", „Registrierung- 
snummer" (in meinem Falle zudem „Rech- 
nungsanschrift für Hotelkosten"). 



Zum anderen geht es um persönliche Angaben 
wie Nachname, Vorname, Geburtsort und -land, 
Geburtsdatum, Nationalität, vollständige Adres- 
se, Bundesland und Ausweisnummer. 

Mit meiner Unterschrift in dem Feld „Ich 
habe die Datenschutzerklärung gele- 
> sen und bin damit einverstanden" 
dürften meine Angaben schon 
ausreichen, um in/mit meinem 

• Namen im erheblichen Maße 
für Unfug zu sorgen. Und 
damit meine ich mehr als nur 
den fingierten Erwerb einer 
Kaffeemaschine oder ein Jah- 
res-Zeitschriften-Abo. Aus der 
Sicht eines alteingesessenen Para- 
noikers reichen diese Informationen 
aus, um eine Identität zu fälschen oder 
einer tatsächlich existierenden Person eine 
neue, andere, u.a. strafrechtlich relevante Ver- 
gangenheit zu geben (z.B. durch Fälschen eines 
Geständnisses). Aber ich schweife ein wenig 
ab. 



Zuverlässigkeitsprüfung: 

„Zu diesem Zweck [der Prüfung, ob Erkenntnisse vorliegen, die aus der Sicht der beteiligten Sicherheitsbehörden einer 
Zulassung zum Veranstaltungs-ort entgegen stehen] soll ein Auszug aus den mit dem Anmeldungsformular erhobenen 
Angaben (Nachname, Vorname, Ceburtsname oder anderer Name, Geburtsdatum, Geburtsort, Geschlecht, Nationalität 
wie im Ausweis angegeben, Postleitzahl, Ort, Straße, Hausnummer, Bundesland, Land, Art und Nummer des Ausweises, 
Event Name, Event Funktion, Registrierungsnummer) dem Landeskriminalamt des Bundeslandes, in dem Sie derzeit 
Ihren Wohnsitz haben, sowie dem Bundeskriminalamt, der Bundespolizei, dem Bundesamt für Verfassungsschutz und 
dem Bundesnachrichtendienst (soweit ausländische Staatsangehörige mit Wohnsitz im Ausland die Akkreditierung 
beantragen) zur Durchführung einer Zuverlässigkeitsprüfung elektronisch zur Verfügung gestellt werden. 
Quelle: Datenschutzinformation der Abteilung Akkreditierung der FIFA Fußball-Weltmeisterschaft Deutschland 2006 
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Wozu werden diese Informationen 
abgefragt? 

„Die im Formular angegebenen Daten werden vom 
Deutschen Fussball-Bund e.V. [...] ausschließlich dafür 
verarbeitet und genutzt, um über die Erteilung des 
Zutrittsrechtes und dessen Umfang zu entscheiden und 
die Einhaltung der entsprechenden Beschränkungen 
zu kontrollieren. Die Erhebung, Verarbeitung und 
Nutzung der personenbezogenen Daten dient somit der 
Gewährleistung der Sicherheit der Veranstaltung." 

Quelle: Datenschutzinformation der Abteilung 
Akkreditierung der FIFA Fußball-Weltmeisterschaft 
Deutschland 2006 



Ich weiß nicht genau, warum mich diese Aus- 
sagen nicht beruhigen. Glaubt man wirklich, 
daß Personen, welche die Veranstaltung stö- 
ren wollen, sich auf diese Weise akkreditieren 
und erfassen lassen? Und wenn ja, werden dann 
nicht eher vermeintlich unbescholtene und bis- 
lang nicht auffällig gewordene Personen zu die- 
sem Unterfangen eingesetzt - wie bei den 9/1 1- 
Anschlägen? 

Nun gut. In dem Prozedere geht es um eine 
sog. Zuverlässigkeitsprüfung (siehe Box). Dabei 
werden meine persönlichen Daten verschiede- 
nen Behörden zum „Abgleich" zur Verfügung 
gestellt. Diese Stellen sprechen dem DFB/der 
FIFA dann eine Empfehlung aus, ob ich an der 
geplanten Veranstaltung teilnehmen darf oder 
nicht. Eine Ablehnung erfolgt ohne die Angabe 
von Gründen. Doch dazu später mehr. Betrach- 
ten wir zunächst den Personenkreis, dem 
Zugriff auf meine Daten gewährt wird. 

Wer hat Zugriff auf die Daten? 

Richtig unheimlich wird es, wenn ich mir 
den Abschnitt Zuverlässigkeitsprüfung (siehe 
Box) anschaue und sehe, wer auf meine Daten 
zugreifen darf/wird. So werden LKA, BKA, 
Bundespolizei, Bundesnachrichtendienst und 
der Verfassungsschutz gleichermaßen auf die 
Daten zugreifen. Seitens der Polizeibehörden 
wird ein „Abgleich" in zweierlei Hinsicht vor- 
genommen. Zum einen werden die Daten mit 
jeweils individuell behördlich relevanten Daten/ 
Dateien „abgeglichen". Das Landeskriminal- 
amt, das Bundeskriminalamt sowie die Bundes- 



polizei halten dafür eigene Datenbestände vor. 
In einem zweiten Datenmodell fließen gewisse 
Informationen zu Verbunddateien zusammen. 

















LKA 








Abbildung 1: „Datenabgleich" der Polizeibehörden 

Diese Verbunddateien umfassen Straftäter-/ 
Strafdatendateien (bei denen auch eingestell- 
te oder ohne Verurteilung beendete Verfahren 
betrachtet werden), Staatsschutzdateien und die 
Datei „Gewalttäter Sport", auf deren Inhalte ich 
allesamt nicht en Detail eingehen möchte. Eine 
Datenlöschung erfolgt im jeweils individuellen 
Kontext gemäß des jeweils geltenden Rechts. 

Das betrifft auch die in dem Nachrichtendienst- 
lichen Informationssystem NADIS bevorrate- 
ten Daten, die von den verschiedenen Instanzen 
des Bundesverfassungsschutzes (BfV) genutzt 
werden. Hier werden Daten ggf. zwischen fünf 
und 15 Jahre lang gespeichert, ehe sie gelöscht 
werden. Meine Daten werden auch hier einem 
„Abgleich" unterzogen! Ich mag mir gar nicht 
vorstellen, daß eine den Nahen Osten liebende 
Person aus meiner Nachbarschaft, ein längst 
vergessener, heute drogenabhängiger, Freund 
oder ein entfernter Verwandter mit kommunis- 
tischem Persönlichkeitsprofil - aus welchem 
Grund auch immer - in diesem System erfaßt 
ist. Das könnten allesamt Referenzen auf/von/ 
mit meiner Person sein. Und wenn derarti- 
ge Personen aus dem Rande meines sozialen 
Umfeldes doch erfaßt sind, stellt sich mir sofort 
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die Frage, ob meine Daten dann „nur" abgegli- 
chen oder ob sie auch dort abgespeichert wer- 
den. Darüber hinaus grübele ich darüber, ob 
diese Informationen eine negative Entschei- 
dung begünstigen würden/ werden. 

Anyway. Der Bundesnachrichtendienst ist ne- 
ben den Polizeiorganen und dem Verfassungs- 
schutz das dritte große Organ, das sich für 
meine Daten interessiert. Im Normalfall prüft 
er Personen mit ausländischem Wohnsitz und 
gleicht die ermittelten Daten mit Dateien zu 
den Themen Internationaler Terrorismus und 
Organisierte Kriminalität ab. Ausgewiesener- 
maßen wird bei Personen mit ausländischem 
Wohnsitz eine derartige Prüfung durchge- 
führt. Es bleibt allerdings die Frage offen, ob 
der Datenabgleich in den anderen Fällen wirk- 
lich nicht durchgeführt wird (siehe Toll- Col- 
lect; der Umstand, daß wir bislang nur eine 
LKW- Maut entrichten bedeutet nicht, daß wir 
in Zukunft nicht eine PKW- Maut bekommen - 
die dazu relevanten Daten werden von dem Sys- 
tem bereits erfaßt, lediglich (noch) nicht aus- 
gewertet). 

Wie funktioniert das System? Wohin 
wandern meine Daten? 

Nachdem wir nun einen grundlegenden Ein- 
blick darin haben, welche Behörden mit ihren 
Personalstäben die Daten auswerten, interes- 
siert uns die Art und Weise, wie die Daten trans- 
portiert und in welchen Systemen die Daten wie 
lange gespeichert werden. Ggf. möchten wir des 
weiteren in Erfahrung bringen, welche Perso- 
nen diese Systeme betreuen und sichern. 

Hierzu läßt sich zunächst keine pauschale Aus- 
sage treffen. Lesen wir daher diesbezüglich die 
Datenschutzinformation noch einmal genau... 



An dieses Akkreditierungssystem ist ein sog. 
„Event- Server Deutschland" gekoppelt. Und 
weiter: 

„Alle im Akkreditierungssystem gespeicherten per- 
sonenbezogenen Daten werden spätestens Ende Sep- 
tember 2006 gelöscht." 

Quelle: Datenschutzinformation der Abteilung 
Akkreditierung der FIFA Fußball-Weltmeisterschaft 
Deutschland 2006 

Das ergibt folgende Grundstruktur... 




Abbildung 2: Crundzüge Akkreditierungssystem 

... und auch gleich einige Fragen: 

Betrifft der beschriebene Löschvorgang auch 
den deutschen Event- Server? Und wer verbirgt 
sich hinter dem ominösen Dienstleister? Welche 
Zugriffe hat er? Werden durch ihn zur System- 
sicherheit Backups erstellt? Wo und wie werden 
diese Backups aufbewahrt? Werden Backups 
und andere Verbindungs- bzw. Transaktionsda- 
ten des Dienstleisters ebenfalls gelöscht? Wel- 
che Service Level wurden für die Datenerfas- 
sung, -Verwaltung und -bevorratung vereinbart 
und wie wird das Einhalten dieser Vereinbarun- 
gen geprüft? 



Einen ersten Hinweis auf ein elektronisches 
System zur Datenverarbeitung finden wir hier: 

„Die Erhebung, Verarbeitung und Nutzung Ihrer personen- 
bezogenen Daten erfolgt über ein Akkreditierungssystem, 
das die FIFA durch Beauftragung Dritter erstellt und 
bereitgestellt hat." 

Quelle: Datenschutzinformation der Abteilung Akkreditierung 
der FIFA Fußball-Weltmeisterschaft Deutschland 2006 
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Die Datenschutzinformation gibt darüber ge- 
nauso wenig Auskunft, wie sie dem Leser offen- 
bart, wie seine persönlichen und auf das Event 
bezogenen Daten überhaupt in die Systeme 
gelangen. Fakt ist, daß ich eingeladen wurde 
und meine Informationen dem Einladenden 
übermitteln muß (passenderweise schon ein- 
mal per E-Mail unverschlüsselt über das Netz 
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- sind die Informationen damit nicht schon 
öffentlich?). Er leitet diese - in seiner Rolle als 
Event- Manager - wiederum an den DFB weiter. 



„Der Deutsche Fußball-Bund e.V. bedient sich zum 
Teil externer Dienstleister (insb. Provider, Software- 
unternehmen)." 

Quelle: Datenschutzinformation der Abteilung 
Akkreditierung der FIFA Fußball-Weltmeisterschaft 
Deutschland 2006 



m 



Mehr kann ich der Datenschutzinformation, be- 
zogen auf meinen Fall, gar nicht entnehmen. 
Würde ich in die Gruppe derer fallen, die „inter- 
nationale Medien vertreten oder FIFA-Mitarbei- 
ter sind", würde es (zusätzlich) eine Bewertung 
der FIFA geben, die in die Akkreditierungsent- 
scheidung einfließt. Für mich bleibt daher nur 
diese Übersicht: 













UnternttiriMn 



DL 




Abbildung 3: Wohin wandern meine Daten? 

Es wird bislang weder deutlich dargestellt, wer 
auf meine Daten zugreift, noch wie diese zwi- 
schen den Verantwortlichen transferiert wer- 
den. Möglicherweise erfasse ich die Daten 
selbst, gebe sie an meinen Event Manager weiter, 
der sie wiederum dem DFB übersendet. Dieser 
bedient sich wiederum Providern und Software- 



Unternehmen, um die Daten in den Event-Ser- 
ver Deutschland einfließen zu lassen oder über 
die FIFA und den Dienstleister in das Akkredi- 
tierungssystem zu überführen. Jetzt werden die 
Daten durch einen weiteren Unbekannten an 
die Behörden zwecks „Ab gleich" übertragen: 




®]@1©1® 




Abbildung 4: Das Datenabgleich-Verfahren 

Eine mysteriöse Person (vielleicht mit Mantel, 
Hut, Sonnenbrille und schwarzem Aktenkoffer 
- nennen wir sie Mr.X) übersendet meine Da- 
ten an das jeweilige Landeskriminalamt (LKA), 
die Bundespolizei (Bpol), den Bundesnachrich- 
tendienst (BND) und das Bundesamt für Verfas- 
sungsschutz (BfV) - wobei auch nicht transpa- 
rent ist, ob die Daten direkt digital übertragen 
oder auf Datenträgern zwischengespeichert ver- 
sendet werden. 

Im Anschluss werden die Daten beim LKA, der 
Bpol, dem BND und dem BfV gegen die jeweils 
individuellen Datenbestände „abgeglichen" (bei 
den Polizeibehörden gibt es zusätzliche Ver- 
bunddateien - siehe Abbildung 1). Die Ergeb- 
nisse und Empfehlungen dieser Behörden wer- 
den dem Bundeskriminalamt (BKA) überstellt, 
wo sie letztlich gegen BKA-spezifische Datenbe- 
stände abgeglichen werden. Daraus erstellt das 
BKA als koordinierende Instanz eine „sicher- 
heitsbehördliche Empfehlung", die es dem 
Organisationskomitee des DFB mitteilt. Ver- 
mutlich wird diese Empfehlung dann meinem 
„Event Manager" mitgeteilt, der mich dann dar- 
über informieren wird, ob ich eine weiße Weste 
habe oder nicht. 
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Zunächst fällt mir in diesem Zusammenhang 
auf, daß Mr. X den Personenkreis, der über 
meine Daten verfügt, um mindestens fünf wei- 
tere Stellen mit einer unbestimmten Zahl an 
Mitarbeitern erweitert. Dann stelle ich fest, daß 
in der Datenschutzinformation zwar auf die 
unterschiedlichen Löschfristen der Datenbe- 
stände hingewiesen wird, nicht aber darauf, ob 
meine Daten oder die neu entstehenden Relati- 
onen und Verknüpfungen zu bereits bestehen- 
den Daten ebenfalls abgespeichert werden. Sind 
diese neuen Relationen dann von der Löschung 
überhaupt betroffen? 

Letztlich wird die Vorgehensweise des Daten- 
abgleich-Verfahrens derart oberflächlich dar- 
gestellt, daß es auch an dieser Stelle der Daten- 
schutzinformation mehr Fragen als Antworten 
gibt. Wer transportiert auf welche Art und Weise 
meine Daten (Mr.X und weitere)? Wie erfolgt 
der Datenabgleich? Werden meine Daten in den 
lokalen Systemen und/oder den Verbunddatei- 
en gespeichert? Werden meine Daten manuell 
erfaßt oder digital über eine Schnittstelle ein- 
gegeben? Wer verwaltet die Daten bzw. Schnitt- 
stellen? Gibt es Kontrollfunktionen, Koordinie- 
rungsinstanzen? Wer überwacht/dokumentiert 
die ordnungsgemäße Durchführung eines 
Abgleiches? Verbleiben meine Daten dort oder 
werden sie gelöscht? Wenn meine Daten wieder 
gelöscht werden, wer überwacht/überprüft die 
ordnungsgemäße Durchführung und Vollstän- 
digkeit des Löschens...? 

Es bleibt in der Tat ungeklärt, was genau - ins- 
besondere aus technischer Sicht - ein „Ab- 
gleich" ist und wie dieser Prozess en Detail re- 
guliert wird. Die Beschreibung hat daher etwas 
von einer „Black- Box- Dokumentation": 

lnput=> Black-Box => Output. 

Antrag abgelehnt! Was nun?! 

Zwar wird in der Datenschutzinformation ange- 
geben, in welchen Fällen die Polizeibehörden, 
der Verfassungsschutz und der Bundesnach- 
richtendienst eine Ablehnung der Akkreditie- 
rung einer Person empfehlen werden. Aber 
auch hier bleibt das Dokument schwammig 



und intransparent, da neben den allgemeinen 
Zuständigkeiten im Grunde genommen immer 
auf das Vergehen der „Störung des Rechtsfrie- 
dens" als Kriterium verwiesen wird - und diese 
Phrase ist gelinde gesagt: schwammig! In die- 
sem Zusammenhang mißfällt mir auch der Pas- 
sus, daß eine Ablehnung erfolgen kann, wenn 
„Erkenntnisse vorliegen, die darauf schließen 
lassen, daß Sie künftig solche Straftaten bege- 
hen werden." Wenn das nicht an 1984™ erin- 
nert, was dann? 

Es kommt erschwerend hinzu, daß die durch 
das Verfahren erzielte Empfehlung dem Betrof- 
fenen ohne die Angabe von Gründen mitgeteilt 
wird. Sprich: wird das Individuum abgelehnt 
(ich vermute, der DFB wird den jeweiligen Emp- 
fehlungen des BKA folgen), so erfährt es die 
Gründe hierfür nicht. In meinem Fall wäre eine 
Absage besonders tragisch, da der mich einla- 
dende Dienstleister (beschrieben als „Event- 
Manager") vermutlich nicht nur vor mir erfah- 
ren wird, daß ich abgelehnt bin, sondern mir 
dies aller Voraussicht nach auch mitteilen wird. 

Wenig nachvollziehbar bleibt auch der Um- 
stand der Möglichkeit, einen Einspruch gegen 
eine Ablehnung geltend zu machen. 

das Organisationskomitee Ihre Akkreditierung 
/vegen Zuverlässigkeitsbedenken der Sicherheitsbehör- 
den ab, haben Sie [...] die Möglichkeit, sich wegen der 
Gründe an das Landeskriminalamt Ihres Wohnsitzlande: 
bzw. - soweit Sie Ihren Wohnsitz im Ausland haben - a 
das BKA zu wenden." 

Quelle: Datenschutzinformation der Abteilung 
Akkreditierung der FIFA Fußball-Weltmeisterschaft 
Deutschland 2006 



Obwohl an anderer Stelle (Datenabgleich- 
verfahren) darüber informiert wird, daß das 
BKA federführend Daten zusammenführt, die 
sicherheitsbehördliche Empfehlung erstellt und 
dem Organisationskomitee des DFB mitteilt, 
soll man sich zwecks Einspruch an das LKA 
wenden. Das impliziert, daß das LKA ebenfalls 
auf die zusammengeführten Daten des BKA 
zugreifen kann, denn beim LKA „können Sie 
auch Ihre Einwände geltend machen. Ihre Ein- 
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gäbe wird sodann ggf. an die ablehnende (n) 
Sicherheitsbehörde (n) weitergeleitet." 

Anbei: welche Einwände soll ich geltend 
machen, wenn ich nicht einmal erfahre, warum 
ich überhaupt abgelehnt werde? 

Wer ist denn nun die koordinierende Instanz: 
das BKA oder das LKA? Wenn nicht einmal das 
geklärt ist, wie soll ich da Vertrauen in ein voll- 
kommen diffuses Datenverteil- und Abgleich- 
Verfahren haben? 

Fazit - eine ernsthafte Betrachtung 

Es ist mir mulmig zu Mute! Einen technischen 
„Event" der FIFA Fußball-Weltmeisterschaft 
Deutschland 2006 besuchen zu dürfen, hat 
für mich in der Tat einen hohen ideellen Stel- 
lenwert, aber es bleibt ein mehr als fader Beige- 
schmack, wenn ich an die losgetretene Lawi- 
ne von Personen und Systemen denke, die mit 
der Erfassung, dem Transport, der Speicherung 
und Bevorratung meiner persönlichen Daten 
beschäftigt sein werden. 

Es ist mir nicht ersichtlich, wie viele Personen 
und Systeme allein an dem Transferprozess 
beteiligt sind. Es ist mir nicht ersichtlich, wie 
viele Personen und Systeme meine Daten be- 
vorraten und in welchem Zusammenhang sie 
- wie auch immer - mit anderen Daten abge- 
glichen werden. Ich kann nicht erkennen, ob 
meine Daten andere Datenbestände ergänzen 
und bevorratet bleiben oder ausgetauscht wer- 
den. 

Daß mir die Datenschutzinformation nicht 
der Aufklärung darüber dient, nachvollziehen 
zu können, wo wie lange welche meiner Daten 
gespeichert werden, kann ich noch verstehen, 
wenn die Inhalte der Datenschutzinformation 



wiederum dem Datenschutz unterliegen (mit 
anderen Worten: das darf mich nicht interes- 
sieren und ich soll es gefälligst nicht hinterfra- 
gen!) Unerwähnt bleibt in jedem Fall, wie die 
Daten übermittelt und gesichtet bzw. gesichert 
und später gelöscht werden. 

Es ist ferner in jedem Fall zu bezweifeln, daß 
eine vollständige Löschung aller mich betref- 
fenden Daten, die aus diesem Vorgang gewon- 
nen werden, nach drei Monaten bzw. einem Jahr 
gewährleistet ist. Dazu werden die Daten an zu 
vielen Stellen eingepflegt und „abgeglichen". 
Ferner ist bei Behörden nicht auszuschließen, 
daß die Datenübermittlung an einigen Stel- 
len in der Prozeßkette per CD/ DVD vorgenom- 
men wird, so daß das ein oder andere Exemplar 
einer Sicherungs-CD sicherlich den Prozess der 
„Datenlöschung" überleben wird. 

Ich bin mir des weiteren auch nicht sicher, daß 
die durch die FIFA und den DFB beauftragten 
„Dienstleister", „Provider" und „Softwareun- 
ternehmen" in dem Maße ihre Pflicht erfüllen, 
wie es die Sensibilität der Informationen gebie- 
tet. Leider habe ich keine Kenntnisse über die 
Unternehmen, die ausgewählt wurden und die 
Service Level Agreements (SLA) und Vertraulich- 
keitsverpflichtungen, die zwischen den Parteien 
(hoffentlich) vereinbart wurden. Ggf. müssen in 
diesem Zusammenhang verschiedene internati- 
onale rechtliche Grundlagen betrachtet werden. 
Was in einem anderen Land erlaubt ist, kann 
aufgrund unterschiedlicher Gesetzgebung in 
diesem Lande verboten sein und umgekehrt. 

Und auch für den Fall, daß eine Person abge- 
lehnt wird, finde ich die Darstellung skurril. 
Es kann einem unbescholtenen Bürger bei- 
spielsweise passieren, daß er eine Negativ- 
Empfehlung erhält, da der Verfassungsschutz 
einmal gegen eine gewaltbereite und extremis- 



III 
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tisch auffälligen Person aus seinem Freundes- 
oder Bekanntenkreises ermittelt hat. Welchen 
erzieherischen Effekt hätte eine derartige Ab- 
sage? „Traue Niemandem!" anstelle von „Ände- 
re Dich!" Eine Mentalität wie „Du bist durch 
die Prüfung gefallen - ich sag Dir aber nicht 
warum!" sollte im 21. Jahrhundert doch wohl 
kaum noch Verbreitung finden...! 



Fazit II - eine unernste Betrachtung 

Ähem. Aber wie gehe ich denn jetzt mit mei- 
ner Einladung weiter um? Der Umstand, daß 
das Schreiben derart komplex und kompliziert 
aufgebaut ist, daß es entweder gar nicht gele- 
sen und/oder mit dem Kommentar „Ich habe ja 
nichts zu verbergen!" belegt wird, nutzen mir 
konkret nicht weiter. Ich erliege ja einem ziem- 
lichen Druck, da es sich bei der Teilnahme an 
dem Event um eine im Leben einmalige Gele- 
genheit handelt („Sie haben doch nichts zu ver- 
bergen, oder?") 

Fall 1: 

Nehmen wir einmal an, ich unterschreibe die 
Einverständniserklärung nicht. Kann ich dann 
überhaupt auf mein Recht nach Datenschutz 
und Selbstbestimmung pochen - oder leidet die 
Dienstleister- Kunden-Beziehung 
darunter („Der hat doch was zu 
verbergen!"). Ich könnte natürlich 
auch andere Dinge als Grund vorge- 
ben wie meine plötzliche Hochzeit 
oder ein Magengeschwür aufgrund 
akuten Stresses. Dann würde ich 
allerdings die Unwahrheit sagen, 
was wiederum aus meiner Sicht die 
Kunden-Dienstleister-Beziehung 
nachhaltig beeinträchtigen würde. 

Fall 2: 

Nehmen wir einmal an, ich unter- 
schreibe die Einverständniserklä- 
rung. Das - ernsthaft - mulmi- 
ge Gefühl des Wartens wird mich 
beschleichen. Das erinnert mich 
an die Wartezeit nach der Abga- 
be einer wichtigen Klassenarbeit 



bis zur benoteten Rückgabe. Warten auf Go- 
dot... Und dann werde ich - ohne Begründung 
- abgelehnt. Ich werde nicht einmal erfahren, 
warum. Fakt ist aber, daß der mich Einladende 
über die Ablehnung unterrichtet wird. Und das 
wird die Dienstleister-Kunden-Beziehung in der 
Tat nachhaltig beeinflussen bis hin zu Ansätzen 
des Denunziantentums und der Rufschädigung 
meiner Person. 

Letztlich müßte meine Person aufgrund derar- 
tiger Umstände sowohl in den Qualitäts- und 
Risk-Management-Prozessen meines eigenen 
Unternehmens wie auch bei der einladenden 
Seite kritisch hinterfragt werden. Im extremen 
Fall könnte eine Ablehnung also eine Geschäfts- 
beziehung nachhaltig negativ beeinträchtigen 
und den Ruf des Individuums beschädigen. 

Fall 3: 

Ich ergebe mich meinem Schicksal, werde 
nicht abgelehnt (ole ole) und nehme einfach an 
der Veranstaltung teil - in der Hoffnung, daß 
mich niemand erkennt... und mich kritisch hin- 
terfragt! Sollte dann allerdings der Veranstal- 
ter absagen, MÜSSTEN MEINE DATEN NEU 
ABGEGLICHEN WERDEN...! 




Toiletten 




wenn verschlossen 
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Nerddaters 

4 6halb e <4 6halbe@ wdtregierung. de> , 
Florian Holzhauer <fli-ds@fliolzhauer.de> 

"Ich hab das ja alles für einen Witz gehalten, wie diese Kettenmails eben. Ich kannte so 
Typen nur von der Mensa in der Uni. Das waren die mit den Shirts mit kryptischen Pro- 
grammcodes, die immer vor ihren Laptops saßen und irgendwie komisch waren. Meistens 
haben die nicht so gut gerochen und hatten keine Frisur, die man so nennen könnte." 



Wir sind in Kreuzberg im einem Cafe, eine 
Gruppe Frauen sitzt um einen runden Tisch. 
Miriam erzählt davon, wie sie ihren neuen 
Lebensabschnittsgefährten Dirk kennengelernt 
hat. Dirk ist vor einigen Minuten mit seinem 
Laptop nach drinnen verschwunden, "bei der 
Sonne erkennt man ja nichts auf dem Display". 
Das Cafe hat ein Gratis-Wlan. 

Miriam ist Teil der Nerddaters, ein loser Zusam- 
menschluß von weiblichen Gleichgesinnten, die 
Nerds als erstrebenswerte Zielobjekte für die 
Partnersuche erkannt haben. Ein kurzer Text 
per Mail Anfang letzten Jahres auf Craigslist hat 
sie hier zusammengeführt. Craigslist ist eine 
Art Kleinanzeigencommunity in den USA, nett 
gestaltet und von vielen Singles frequentiert. 
Eine Frau hatte dort eine Liste gepostet, auf der 
sie 15 Argumente anführt, warum Nerds und 



Geeks lohnenswerte Objekte der Begierde seien. 
"Why Geeks and Nerds are worth it", so der Ori- 
ginaltitel, ist inzwischen zu einer Netzlegende 
geworden, übersetzt in viele Sprachen. 

"Mein Ex war ein oberflächlicher, egoisti- 
scher Loser mit Oberlippenbart und Schuppen. 
Irgendwann hat er mal zu mir gesagt, daß ich 
zu dick sei und was ändern müßte. Er fand auch 
meine Kochkünste unzureichend, von Sex mal 
gar nicht zu sprechen. Als dann Schluß war, hat 
es mich aber doch getroffen." Die anderen am 
Tisch nicken. Miriam weist mit dem Kopf Rich- 
tung Dirk und lacht. "Was bin ich froh, daß ich 
nun Dirk kenne." Sie seufzt. 

Der Kellner bringt Kaffee und Tee. Miriam 
erzählt, wie sie sich kennengelernt haben. "Ich 
hab' einfach mal so diesen Typen mit Laptop 
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angequatscht. Auf Craigslist stand ja auch, man 
braucht keine Angst vor einem Korb haben. Er 
hatte mich erst gar nicht wahrgenommen, er 
war wohl irgendwo anders in Gedanken." Idealer 
Jagdgrund sind laut Craigslist Cafes und ande- 
re Orte, wo es Netz gibt. Miriam hatte es nicht 
sonderlich schwer, halb Berlin ist voller netter 
Kaffeeläden mit Wlan. Und ihr reichte ein ein- 
ziger Versuch. "Er kann nicht nur kochen, man 
kann auch noch intelligente Gespräche mit ihm 
führen, und er ist nicht so unglaublich von sich 
selbst überzeugt. Und er kann jeden Film besor- 
gen. Einfach sexy." 

Die Idee, daß es wohl ein paar mehr Frauen 
geben könnte, die mit einem Nerd als erstklassi- 
gem Zeitvertreib gut beraten sein könnten, kam 
dann beim Essen mit Freundinnen. Die bei- 
den Frauen, die bei ihr zu Gast waren, wollten 
die Vorzüge eines Nerds nicht recht glauben. 
"Nerd? Was ist denn ein Nerd?" Miriam weihte 
sie ein und zeigte das Posting von Craigslist vor. 
Neid machte sich breit, so einen hätten die bei- 
den auch gern. Miriam empfahl ihnen das Cafe 
an der Ecke. 

"Die eine ist inzwischen auch in festen Händen 
und überglücklich - die andere noch nicht, sie 
legt wohl zuviel Wert auf 
Äußerlichkeiten." Dabei, 
so Miriam, seien Nerds ja 
eigentlich gar nicht unan- 
sehnlich oder ungepflegt, 
nur eben etwas optimier- 
bar. Sie vergleicht Dirk 
mit einem ungeschlif- 
fenen Rohdiamanten. 
Aber mit ein paar Rat- 
schlägen von erfahrenen 
Weiblichen würden sich 
auch Nerds ganz passa- 
bel kleiden. "Und wenn 
sie am Anfang keine Lust 
auf Einkaufen haben, 
kann man sie mit klei- 
nen Annehmlichkeiten 
ködern", sagt sie und lacht 
leise. Die Waffen einer 
Frau, wirksames Equip- 
ment auch für Nerds. 



Potenzielle Täter 



Nerddating, in Deutschland noch eine eher ver- 
wegene Idee, ist in den USA schon bekannt und 
schwer im Trend. Gleich mehrere Portale wie 
consumating.com oder nerddating.net existieren für 
die angehende Nerddaterin, sie expandieren 
inzwischen auch nach Frankreich, Polen oder 
Finnland. Hierzulande fehlen noch die ent- 
sprechenden Angebote, diese Marktlücke wol- 
len die Überzeugungstäterinnen nun nutzen. 
"Die Nerddater-Webseiten existieren schon. Wir 
wollen da erstmal eine Sammlung von Tips und 
Ratschlägen für geneigte Frauen entstehen las- 
sen. Sie sollen auch die berühmte Liste lesen 
und rausfinden, warum Nerds so sexy sind und 
wo man sie am besten findet. Danach dann 
ein Forum, wo man direkt Kontakte anbahnen 
kann." Miriam bittet nun Dirk hinzu. Er zeigt 
einige Entwürfe der Webseite, die Frauen sind 
begeistert. 

"Diesen Kontakteteil machen wir so, daß die 
Mädels gleich klicken können, wen von den 
Nerds sie interessant finden. Jede kann sich 
ihre eigene Bestenliste anlegen. Eine Bewer- 
tungsskala wird es auch geben." Dirk imple- 
mentiert das gerade. Er sagt: "Im Prinzip sind 
so Beziehungsgeflechte ja nichts anderes als 
ein Graph. Wir haben es hier mit einem Mat- 
chingproblem zu tun. Ich 
schreibe da grade an 
einem Approximationsal- 
gorithmus, der unglaub- 
lich schnell und ausrei- 
chend effizient ist. Alles 
nur ein Optimierungspro- 
blem." Die Frauen nicken, 
natürlich. 



.4 
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Während Miriam ihm 
den Nacken krault, erzählt 
Dirk von Tagging-Features 
undXMLRPC-Schnittstel- 
len, die er vielleicht noch 
implementieren will, mit 
zwei Freunden zusam- 
men. Die Frauen bitten 
unauffällig, diese beiden 
Freunde doch mal mitzu- 
bringen. 
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Musings on web applications 

von Jane Random Hacker <ds@ ccc.de> 

Web applications seem to be a big thing right now. To be frank, I cannot quite understand 
this at a gut-feeling sort of level. But that's not the point, my gut feeling can do whatever it 
likes. I still want to look at some aspects of the web application hype from a technical and 
jurisdicational point of view. 



How the hell did we get HERE? 

A number of years ago, networked Softwa- 
re became wide-spread. At some point people 
noted that somehow the specification and imple- 
mentation of a certain aspect of the behaviour of 
networked Systems had not been done in a suf- 
ficient manner. That aspect is the communicati- 
on behaviour: Inbound and outbound network 
activity. Thus, the firewall was invented. 

One might regard it as a kind of chewing-gum- 
and-gaffa-method of specifying a system's net- 
work activity: Which kind of input it accepts at 
its (abstract) network interface and which kind 
of Output it should generate on that interface. 
Firewalls were either useful or sold well (or 
both), and so they became widespread. Every 
administrator then learned that you have to fire- 
wall all unnecessary ports. In this process, it 
became common practice to ideally only leave 
port 80 and 443 open to the outside, in order to 
expose minimal attack surface. 

But just exchanging formatted text was not 
enough, either for the people providing con- 
tent or for those accessing it. And thus began 
the practice of piping everything over ports 
80/443, an d not only that, but also piping eve- 
rything through the protocol associated with 
these ports: http(s). Note that it is not exactly a 
light-weight protocol. 

But when firewalls were introduced, the pro- 
blem of properly specifying a system's com- 
municating behaviour had not been essentially 
solved. And so it popped up again, now that eve- 
rything was done over port 80. Not all that fancy 
web-traffic was desired, yet to a classic firewall it 




all looked alike. And so the idea of the applica- 
tion-level firewall was born, which was yet ano- 
ther gum-and-gaffa-method of constraining the 
Communications behaviour of a System, only at 
the next level. 

Entering web application land 

So that's where we are now. The web applicati- 
on rush. We have already seen some tech- 
nical developments along the way 
which were not strictly technical- 
ly sensible but driven by earlier 
glitches. 

First of all, using web 
applications means 
that you entrust your 
data to a third party 
entirely. Your data 
usually doesn't make 
it onto any storage 
device you con- 
trol. It is stored 
in a database on 
some Server. Ideal- 
ly you know the per- 
son who administra- 
tes this Server. Ideally 
you trust him or her. 
Ideally the Server is 
always the same. Ide- 
ally you know in which 
country the Server is located. 

But as web applications become 
more widespread, none of these 
assertions will hold anymore. You 
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will probably not know the people who run this 
web application. You won't know in which coun- 
try the Server is located, and by consequence, 
under which jurisdiction the content you enter 
falls. Look out, there's a trap here. What if the 
web application you're using grows and the 
maintainers decide to use load-balancing across 
many Servers, possibly across several nations? 
In this case you can't even ask once under which 
jurisdiction the Server in question is run, becau- 
se it changes arbitrarily and unpredictably. 

Now, of course, that you control your local Com- 
puter entirely is almost always an illusion. But it 
still takes both responsibility and freedom away 
from you if you give away all your data to be 
stored and maintained and processed elsewhere. 
To people with whom you probably don't have an 
established trust relationship. 

Web applications and you: 

confidentiality and trust 

There's another aspect that I 
think makes the complete 
obsoletion of desktop Soft- 
ware somewhat improbab- 
le: Which fucking 
Company wants to 
have all its internal 
information given 
out to some webapp 
hoster and let their 
employees decide 
over that? As a 
security Con- 
sultant I would 
have to be crazy 
to write the reports 
for my customers 
on some webapp text 
processor. Because I 
signed an NDA and 
a contract that said 
I would take all neces- 
sary precautions to ensu- 
re the confidentiality of my 
customer's data. I wouldn't even 
be allowed to use a webapp for 
writing the report if the hoster of 

auch eine Netzapplikation 




that webapp was a good friend of mine. Could be 
a very expensive mistake to make. 

Of course, companies might at some point enter 
into trust relationships with hosters of certain 
web apps. Send in audit teams to make sure the 
hoster at least adheres to the so-called indus- 
try best practice where reliability and securi- 
ty are concerned. Smaller firms may even skip 
the audit and simply trust the hoster. But again, 
this latter case is far more likely to happen if that 
hoster is a well-established and already trusted 
big player. 

Like Microsoft. Google. Yahoo. You name it. 
Very grass-rootsy, really. And the companies 
entrusting their data to webapp hosters would 
not only have to trust these hosters that they are 
technically reliable. They also have to trust that 
they won't make use of that position of power 
that the exclusive physical possession of critical 
data puts them in. 

Whats ncxt 

The next great idea of the webapp folks will be 
to change, no, revolutionize! the way libraries 
are used. Libraries will become alive, they will 
no longer be linked into some Software but the 
library functionality will be provided as a Web- 
service by some hoster. Which raises even more 
fun issues concerning trust: The user of a "live" 
library has to entrust a foreign party with pos- 
sibly sensitive data (the "arguments" to the libra- 
ry call) and has to trust the results Coming back 
from it. This means trusting the foreign party to 
be both benign in itself and not compromised. 
We're just not ready yet to provide this level of 
architectural robustness. 

Consequences 

So I'd boldly State that using webapps on a wide 
basis requires the users to grant even more 
trust to the hosters of webapps. Hey, if it's fun, 
whatever. I personally am very uncomfortab- 
le with that thought. I already feel today that I 
don't have enough control about my data and my 
infrastructure, mostly due to a lack of time on 
my side. 
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And what is more, I really, really can't under- 
stand what's so great about web applications. 
What's the great benefit of having one big fat 
huuuuge-ass terminal that's basically able to 
do anything? But I always have to be connec- 
ted to the internet to do anything with it at all? 
(Either that or run a local webserver with the 
webapp(s) in question, but that is equivalent to 
running local desktop applications, so there's 
no point doing that.) I'm sorry, but that concept 
of one monolithic piece of Software, which is 
then accordingly large, complex, and difficult to 
handle and maintain from the developer's point 
of view, does not appeal to me at all. I have to 
note, though, that one idea behind this whole 
web application thing is to hide the complexi- 
ty of Software from the user, which is a noble 
motivation. I just don't think that the path we're 
taking to reach this goal (webapps! Server side 
blink tags!) is anything good. 



The last consquence I want to 
point out concerns a societal 
and jurisdictional problem. Peo- 
ple investigating security holes 
in publicly deployed Software are 
in a bit of a problematic Positi- 
on even today. The discussion 
has cooled off a bit, but remem- 
ber when politicians were dis- 
cussing to make the possession 
and use of "hacker tools" such as 
nmap and Nessus illegal? Or, as 
has happened in the USA, make 
reverse engineering illegal? So 
there is clearly a drive towards 
criminalising security research. 
With web applications, this gets a 
new and problematic angle. Any 
webapp that does not publish its 
source code and anything eise 
that is needed to run it at home 
will drive the "security resear- 
chers" (white hats, call them 
what you like) and the Under- 
ground (black hats or whatever, 
you choose) further apart, since 
vulnerability research will alrea- 
dy violate Computer crime laws. 
You send a malformed packet to 



a live webapp to search for vulnerabilities, you 
already run (and accept) the risk of crashing it. 
Which is, for example, in Germany a violation of 
paragraph 303b StGB - so vulnerability research 
of webapps will be punishable with up to 5 years 
of jail. You know, number (2) of that law: The 
attempt is liable to prosecution. Our Minister of 
the Interior, for one, will be delighted. 

Thanks £ Acknowledgements 

I need to hand out credits to FX and Hannes, 
who both discussed these thoughts with me 
and thus induced them or helped shaping them. 
Some things I said here are also outright stolen 
from FX, I guess. 

This text has previously heen published on Janes 
Wehlog. 
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The History of HOPE 

by Emmanuel Goldstern 

Many people ask us how HOPE began. And I guess if there' s anyone to blame for the exis- 
tence of HOPE, it's the Europeans. That's right. Your fault. 



You see, back in the 1980s, we were still ama- 
zed that we could somehow manage to publish a 
hacker magazine and get away with it. As many 
of you know, 2600 started in 1984 and we adop- 
ted our present quarterly format in 1988. It was 
that new format that actually attracted the inte- 
rest of bookstores and magazine distributors 
which gave us access to all kinds of new readers. 
Until then you would have had to have heard of 
2600 somehow and agreed to send us money in 
order to have us send you a magazine that might 
get you on a government list. Or at the very least 
get you in trouble with your parents. So the abi- 
lity to walk into a bookstore and quietly buy a 
copy of 2600 without anyone eise knowing was 
as significant a development as the invention of 
the printing press. At least it was to us. 

And it was also in 1988 that the "Off The Hook" 
radio show began on WBAI Radio in New York 
City. Now we were suddenly able to project the 
ideas and stories of the hacker world onto an 
unsuspecting populace who had no choice but 
to listen. 

Clearly, America was facing a crisis. Apparently 
we couldn't be stopped. 

I would have been happy with this. But anyone 
who knows me is well aware of the fact that I 
really hate to cause trouble. And if the govern- 
ment had asked me to stop Publishing this 
obnoxious zine because it was causing them 
grief, I would have in an instant. I only wan- 
ted to help make America a better place. And 
then I went to Europe for the first time in 1989. 
I was never the same again. And for that I can 
never forgive you. Gone was the desire to not 
cause trouble. I no longer was content to exist 
quietly in the background. After spending six 



weeks wandering around Holland and Germa- 
ny, all I wanted to do was stir things up. I've 
since sought treatment for this affliction but so 
far nothing has worked. I fear that I will never 
be able to stop being a thorn in the side of the 
establishment. What was it that happened back 
then? I got my first glimpse of a real hacker Con- 
ference. It was called the Galactic Hacker Party 
and it took place in Amsterdam in the summer 
of 1989. I saw people from all parts of the world 
come together and learn from each other, sha- 
ring all kinds of stories and information. You 
see, until then I always thought the hacker world 
was relatively small. We had tiny gatherings in 
the States like Summercon where a handful of 
people who all knew each other hung out in a 
cheap hotel for a weekend. If there were more 
than a couple of dozen people in attendance, 
it was a crowd. But in Amsterdam, there were 
HUNDREDS of people! And, even more ama- 
zing, these were people from foreign countries 
who actually cared about the same things we 
cared about back home. Phone phreaking. Voice 
mail hacking. Unix Systems. Security holes of 
all sorts. Launching nuclear missiles from your 
bedroom. You get the idea. It was cool. 

I knew at the time that we could never do some- 
thing like this in the States. For one thing, we 
could never get people to work together the way 
they did over in Europe. We'd never be able to 
afford a space to have such an event in a decent 
location. And we'd probably get prosecuted for 
even thinking about doing it. No, this could 
never happen in the States. 

And then you Europeans did it again. In 1993 
the Dutch held another hacker Conference that 
attracted people from all over the world, myself 
included once again. This time it was an outdoor 
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camp, which really seemed impossible to pull 
off. But they did it and they did it well. 

Thousands attended. History was made. And I 
still knew that doing anything remotely simi- 
lar to this in the States would be impossible. 
And yet I couldn't stop thinking about it. And I 
wasn't the only one. We continued to have small 
gatherings in the States. Summercon, HoHo- 
Con, even Defcon which also started in 1993 
with about 75 people. It seemed like this was as 
far as we could go unless something dramatic 
happened. 

And then something dramatic happened. In 
the spring of 1994, I got a call from Craig and 
Randy, the founders of Phrack Magazine and 
the Organizers of the annual Summercon gathe- 
ring. They weren't going to be able to hold the 
con this year and wanted to know if 2600 would 
be Willing to host it in New York. By an ama- 
zing stroke of luck, I got the call while driving 
around New York City with Rop, the Organizer of 
the Dutch Conferences who just happened to be 
visiting. We started to plot and scheme and soon 
realized that this was the chance to actually do 
something different. It wouldn't be a duplica- 
te of Summercon - it would be modeled instead 
after the two Dutch Conferences. And while I 
had never been to a CCC Congress, I had heard 
that they were running annually in Germany 
since 1984 with smaller crowds but still very 
well organized and productive. We really had 
no idea what would happen but it seemed pret- 
ty clear that we were the right people in the right 
place at the right time. And we had nothing bet- 
ter to do. 

We still didn't have a name and many of them 
were flung around. 26ooCon - boring. Ameri- 
can Hacker Congress - sounded like a political 
party. CeBit - stupid name that nobody would 
ever remember. 

And then one day it happened. I was driving 
around with a friend of mine spelling out acro- 
nyms in my head and hoping to make them 
mean something. I hadn't spoken in days. I wan- 
ted to call the Conference Hackers Around The 
Earth but I couldn't reconcile being known as 




the Organizer of HATE, tempting as it was. I had 
just passed through an intersection when sud- 
denly I feit God speak to me. Hackers On Planet 
Earth. HOPE! There wasn't a bit of doubt that 
this was the name our Conference was meant to 
be called. And to this day, you can see the skid 
marks where the name was born. 

So we pulled it together in 1994 and had close 
to 2000 people show up, far more than we had 
ever imagined. We had two days of a Single track 
which seemed like a lot back then. Ex CIA guy 
Robert Steele kicked it off on Saturday afternoon 
with a rousing talk that set the tone for the sub- 
ject matter we were about to dive into. There 
were presentations on all forms of Computer 
hacking, blue boxing, and the first social engi- 
neering panel, which was also inspired by such 
a panel at HEU. And best of all, I saw a lot of the 
same faces that I had seen at the European Con- 
ferences. The best compliment I received was 
that HOPE reminded people of HEU and GHP. 
It was the attitude, the Cooperation, the educati- 
on, and the fun. And, guess what? We did this 
in the middle of New York Fucking City, some- 
thing EVERYONE had agreed was completely 
impossible. 

The hacker spirit had really come through. It 
took a while for us to recover and the last thing I 
expected was to be able to pull this off a second 
time. But people were clamoring for another 
HOPE so we put our heads together and tried 
to figure out if we could do it again. We knew 
we didn't want to do this every year because it 
wouldn't be a special event if we did. The last 
thing I wanted was to be stuck in a predictable 
routine. It would be another three years before 
the next Conference took place. And rather than 
do something lame like call it HOPE 2, we deci- 
ded to make a whole new name while keeping a 
link to the past. 

And so in 1997, Beyond HOPE came to be. Once 
again it was great fun and a little bit bigger. Def- 
con had now gotten big as well but people still 
told us that HOPE was unique. Maybe it was the 
large international turnout, maybe it was the 
fact that we were in the most exciting city in the 
world. All I knew was that it was magic. 
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But despite all of the fun and success, one sobe- 
ring development took place at Beyond HOPE. 
We lost a ton of money, probably because we 
only charged $20, which was actually LESS than 
the first HOPE. Bad move and it couldn't have 
come at a worse time since we had just lost ano- 
ther ton of money when one of our distributors 
went bankrupt. That was the year we almost lost 
2600. 

Despite this near disaster, we knew the Confe- 
rence world happen again. We just had to figure 
out how to make it work. And so, in 2000, H2K, 
our third Conference - with an acronym in an 
acronym - was held. We had more space and a 
much larger Speaker program. We got ex-Dead 
Kennedy's singer and spoken word performer 
Jello Biafra to deliver a completely different sort 
of keynote address than what most were expec- 
ting. We were always careful to avoid being 
predictable but at the same time we wanted to 
remain relevant. Jello opened a lot of eyes that 
year. This time it all went so smoothly that we 
decided to Start holding these things every two 
years so that we could alternate with the Dutch 
and German hacker camps that take place in 
odd-numbered years. 

H2K2 (a name nobody was expecting) follo- 
wed in 2002. This time we had a tremendous 
expansion of space as an old department störe 
downstairs had been taken over by the hotel. At 
times it actually seemed as if we had too MUCH 
space, a nice problem to have. I decided to get 
a completely different kind of keynote Speaker 
once again: a cartoonist who had managed to 
ACCURATELY portray the whole DeCSS law- 
suit (which we had been a recent victim of) in 
a comic strip called "Boondocks." Most atten- 
dees had never heard of him. And when he was 
done, nobody forgot who he was or the words he 
spoke. (Today his name is a household word and 
his comic strip has expanded into a successful 
television show.) H2K2 brought even more peo- 
ple together and the tradition really seemed to 
be a solid thing. Because of the name, a lot of 
newcomers thought it was only our second Con- 
ference. But who cares. 



The most recent Conference was NOT called 
H2K4 like everyone seemed to expect but rather 
The Fifth HOPE since it was, after all, our fifth 
Conference. It had a nice ring to it as well, like 
the Fifth Amendment or the Fifth Dimension. 
Once again, we had a huge amount of space and 
a ton of Speakers. We decided to have a different 
keynote Speaker for every day of the Conference: 
recently freed Computer hacker Kevin Mitnick 
on Friday, Apple co-founder Steve Wozniak on 
Saturday, and returning keynoter Jello Biafra on 
Sunday. The overwhelming complaint we recei- 
ved was that there was just too much to do and 
no way to do it all. This is most definitely a big 
problem for all of us. 

And so, it's now 2006. Not only is that an ana- 
gram of 2600 but it's also a year ending in six 
that is the year of our sixth Conference! Six is in 
the air. And so, we present HOPE Number Six. 
Do I really have to explain why your stay on this 
planet will be more pleasant if you attend? There 
is no better feeling than to be in a foreign land 
and realize that you're amongst friends. For that 
reason alone you should come. But in addition, 
you will learn a great deal, make connections 
that you'll likely have for the rest of your life, 
and have stories to teil your grandkids when this 
sort of thing becomes illegal worldwide. So do 
what you have to do in order to raise the funds to 
come over here and experience HOPE. 

One thing we hear from a lot of people is con- 
cern of what it's like to come into our country, 
now that it's pretty much been destroyed by 
our leaders. Hey, life is füll of challenges and 
the road to enlightenment isn't always paved. 
So maybe you'll have to give your fingerprints 
to the nice customs agent. Maybe you will need 
to apply for a visa. Perhaps you will grow weary 
of the American flags Aying everywhere which 
serve to remind us which country we're living 
in. None of that should matter. Because at the 
end of the road, there will be HOPE. And if 
that's not worth a little adventure and perhaps 
some inconvenience, you may find the claws of 
conformity catching up to you sooner than you 
would like. 
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Hackers on (the other side of) 
Planet Earth 

By Bgpunk and Villau, support: Dragorn 



NOTICE: 

Pursuant to U.S. Intellectual Property Law, 
the American P.A.T.R.I.O.T. Act (2) extension, 
and, in accordance with Cryptographic Arms & 
Ammunitions export controls to territories dee- 
med within "Old Europe", the reader is required 
to consider the following: 

Any and all "Hacking" is both completely 

illegal and absolutely unacceptable. 

You do not "own" either the Software nor 

hardware you use. Both have been licensed 

for your own beneficial use, for a limited time 

only. 

Since cryptography can only be used to hide 
things, and only criminals hide things, it is 
hereby understood that only criminals use 
cryptography. 

Despite our continued economic exchange, it 
is the official opinion of the U. S . Government 
that the animal most representative of the 
fighting spirit of the German people to be 
DAS WEASEL. 



and see how the other half lives! Now, we know 
that a lot of you don't like the U.S. government. 
This is great, because the majority of us don't 
either (approximately 68%). That's over 172 
million people... so you'll be in good Company. 
There are a lot of changes going on in the U.S. 
Government, and if that sounds a little scary for 
the hacker scene, that's because many of them 
are, but lets take a look and see if we can dispel 
some concerns. 

Don't they take your f ingerprints at 
immigration when you visit? 

True. But hold on... First of all, they take your 
fingerprints on a fingerprint Scanner. Aren't we 
hackers? Aren't we the ones who should know 
and understand the vulnerabilities of technolo- 
gy like this? 

[U.S. GOVERNEMENT NOTICE: DEFEATING 
FINGERPRINT READERS IS IMPOSSIBLE, SO 
PLEASE, PLEASE DO NOT TRY TO DO THIS.] 



This article MUST include the preceding "Free 
Speech Authorization" when being reproduced 
either in part or its entirety. Also note, neither 
this "Authorization" nor the United States Con- 
stitution shall infringe the methods or wishes 
of the National Security Agency, Department 
of Homeland Security, or the Republican Party. 
God bless. 

There has never been a better time to 
come to the U.S. 

Sick and tired of being "accepted" and "apprecia- 
ted?" Unhappy that your subculture is "losing 
its edge" or is "no longer considered a terrorist 
Organization?" I bet! Well, take some time out of 
your busy schedules of state-funded education 



It's our responsibility to voice our concerns 
about this policy in the first place, and proving 
to them that their data is unreliable is helpful to 
that cause. Second of all, if these kinds of poli- 
cies are continued, and advanced by the State, 
as they have been exponentially since the 9- 
11 attacks, it will only get harder and harder to 
enter. By Coming now, you can help us protest 
the policy, and get a chance to see what we are 
all about and help us to change these policies 
before they spread around the world. 

What's so cool about the American 
hacker scene? 

The American hacker scene is very large. Our 
largest gathering is twice as large as the lar- 
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gest German CCC Congress. We are a real- 
ly big country and we have many small groups 
spread throughout. There are new Conferences 
being organized every year (we are currently 
host to over a dozen annually). There are very 
active 2600, and other groups doing big things 
in their areas, and there is a lot of variety across 
the country as to what people are working on. 
Although we are constantly looking for ways to 
unite, bring in new people, and to better explain 
ourselves to the public, we are now faced with 
an increasingly strict, rights-infringing, politi- 
cal environment. It is perhaps not so unlike the 
Situation in Germany at the time the CCC was 
formed. Come, so that we can share our stories 
and learn from each other. 

The Two-For-One 

We are very lucky to have two of the most impor- 
tant, largest, and most diverse hacker events 
within two weeks of each other this year: Hope 
Number Six and Blackhat/Defcon. This hasn't 
happened in the last half-decade and is not likely 
to happen again any time soon, in the future. If 
the events are farther apart from one another it's 
less likely to get as many foreign travelers to eit- 
her event, and when they are too close together 
it is harder for the locals to attend both events. If 
you choose to come to both, or just HOPE this 
year you will see a lot of the hacker culture here, 
and a lot of America. We will be posting Infor- 
mation about how to travel between the two Con- 
ferences in our wiki, so check back often! 

So, What is HOPE All About Anyway? 

Traveling to HOPE, from Germany or any- 
where eise in the world, is easy. 

[NOTE: Under the newly passed "Better 
Safe Than Sorry" Act, the policy of shooting 
all foreigners at the border is not scheduled 
to be implemented until 2008, so it's per- 
fectly safe. For now.] 

There will be detailed Information about this 
posted in the HOPE wiki, which you can find | 
a bright and pretty link for on the main HOPE j 
Website: http://www.hope.net/ \ 



Here are some reasons why you will want to 
come: 

Location 

HOPE is held in New York City, the largest 
metropolis in the United States, and the 5m lar- 
gest in the world. Despite rumors to the contra- 
ry New York is a very friendly city, especially to 
visitors, and you will find many Germans and 
German-speakers here, particularly if you visit 
the favorite tourist spots. It is held in the Hotel 
Pennsylvania, one of the most famous hotels 
with one of the most famous phone numbers 
ever: Pennsylvania 6-5000. 

Directly across the street from the Hotel Penn- 
sylvania, Madison Square Garden was recently 
the host of the Republican National Conventi- 
on and serves as the home of many other large 
events. Beneath Madison Square Garden is 
Pennsylvania Station, one of the largest passen- 
ger train stations in the United States. Hund- 
reds of thousands of travelers emerge from this 
Station every morning, and will be greeted with 
the artwork of the HOPE Conference. This time, 
the front of the Hotel will be decorated with an 
interactive light display in the spirit of Blinken- 
lights. The Conference location gives us all the 
chance to interact with the public and display 
the creative side of hacking. 

Community 

HOPE is an international event, despite being 
across the pond and thousands of miles away 
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from countries other than Canada and Mexico. 
HOPE Number 6 is no exception, drawing atten- 
dees not only from around the United States but 
from around the world. This means you. 

Content 

HOPE Number Six will have many interesting 
talks this year. One of the keynotes will be given 
by Richard Stallman, founder of the Free Soft- 
ware Foundation, and other celebrity Speakers 
include Kevin Mitnick, Richard Steele, and Jello 
Biafra. Talks will cover such diverse subjects as 
privacy, pirate radio, smart homes, smart cars, 
biometrics, legalities of network monitoring, 
hackers in prison, wiretapping, consumer elec- 
tronics hacking, secure programming, quan- 
tum Computing, and more. If you are interested 
in becoming a Speaker, please visit the "Call for 
Participation" page on the hope.net Website. 

In addition to the HOPE offerings, there will be 
a PallTech seminar, "High Tech and Hardcore 
Investigative Tactics and Training" held at the 
Conference. Attendees who go to both events will 
receive discounts for admission. More Informa- 
tion about the PallTech seminar is available on 
the HOPE Number Six blog: 
(http://blog.hopenumbersix. net/) 

There will be an opportunity for other ongo- 
ing Workshops such as lock picking, and pos- 
sibly some hands-on RFID fiddling, as well as 
the chance to do an impromptu talk, a short 4- 
7 minute "lightning talk", a rap Session, etc. You 
can also bring your Computers or hardware to 
set up and show off in the open network space 
on the second floor. You don't need to sign up, 
there is plenty of space and power for everyone, 
so bring your gear, and share what you do. 

Network 

The network at HOPE is wholly constructed 
using equipment donations, and by the efforts 
of Conference volunteers. The function and fea- 
tures of the network continue to improve every 
Conference. In 1994 we supplied 28. 8K dial up, 
and in 2000, a pair of Airport base stations. 
Today, of course, we can supply broadband and a 




redundant self-healing wireless network, which 
sustains a large amount of wireless attacks from 
the attendees. We also provide a public termi- 
nal Cluster, A/V Streaming to the overflow Con- 
ference rooms, and private protected VLANs 
for the infrastructure networks (presentation 
connections, A/V connections, etc). Some of 
the challenges the HOPE network faces is run- 
ning a fiber connection between the Conference 
floor of the hotel and the public Computing floor 
(16 floors away), and keeping these things run- 
ning and secure with many curious conference- 
goers, and while there is a large amount of nor- 
mal New York tourists staying in the hotel. 

For the first time HOPE Number 6 will set up 
a VOIP System setup for both the attendees and 
others to interact with. Expect mailboxes, voice 
bridges, and a plethora of interesting Services 
running on the open source asterisk project. We 
will be incorporating SIP phones at the Confe- 
rence for attendees to use, and possibly even a 
VOIP gateway for others to connect to from any- 
where on the net. 

CTF 

HOPE will be hosting a "Capture the Flag" 
game. For the unaware, this is a game that tradi- 
tionally consists of teams who are challenged to 
attack a machine or machines that are set up for 
this purpose. These machines host self-written 
Services with various vulnerabilities that require 
different skills, and skill levels, to exploit. Each 
team's hacker prowess is scored based on the 
difficulty and the efficiency of the exploits they 
manage to find and defeat. Registration details 
will be announced closer to the Conference. 

Atmosphere 

Hope Number Six will be host to hacker pro- 
jects, vendors, and international groups such as 
the CCC. It is 24-hour/3-day affair, with Spea- 
kers, panel sessions, and activities late into the 
night. The second floor of the Conference is dedi- 
cated to the Community: space to talk, socialize, 
relax in hammocks, watch hacker media in the 
movie room, and hack on equipment the general 
public can't usually get access to. 
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We like to design the hell out of our Conferences. 
Our badges, posters, stickers, flyers, t-shirts, 
and of course the space itself will provide lots of 
interesting things to look at and to think about. 
You can get a taste of this on the back cover of 
this magazine! 

The HOPE Conferences are life-changing expe- 
riences for most attendees. Who can forget these 
brilliant moments at previous Conferences? 

• The Prophet, reading 
"The Hacker Manifesto" 

• Kevin Mitnick, 
talking about 
his early social 
engineering 

• Emmanuel 
Goldstein and 
others doing a live 
Simulation of their 
court case, just weeks 
before the real thing 

• Live demonstrations of social engineering, 
caller-id spoofing, and microwaves 

So now that you've decided to come... 

We encourage people of all ages, races, creeds, 
etc. to come to HOPE. As expected, our average 
demographic is 90% male, between the ages 
of 17 and 45, but the HOPE Conferences do fre- 
quently attract teenagers and pre-teens, often in 
the accompaniment of a parent. Sometimes it's a 
dad wanting to teach his teen about the ethics of 
hacking, or to point him/her to the fun of develo- 
ping technical skills. Other times it's the oppo- 
site - a young woman who wants her mother 
to see that learning and exploring all about the 
world we live in isn't weird, it's something that 
all hackers do, for their, and everyone's benefit. 

[NOTE: GERMAN ATTENDEES WILL NOT 
BE REQUIRED TO REGISTER THEIR TECHNI- 
CALLY GIFTED CHILDREN UNDER THE "NO 
HACKER CHILD LEFT UNMONITORED" ACT 
OF2006] 

Registering for HOPE is both simple and 
cheap, like the French. You will find a link to 



our online registration on our main Website, 
http://www.hope.net/, and information there about 
other ways to register. Pre-registration for the 
event is $60 USD (approximately 48^). The 
door price has not yet been determined, but it 
will be as cheap as possible and not more than 
$75 USD (approximately 59 €). 

Resources 

Though we've mentioned 
some of these previously 
in this article, here is your 
one-stop-shop for all the 
ways to find out more infor- 
mation about HOPE, the 
main Website can be found 
at: http://www.hope.net/ or at 
http://www.hopenumbersix.net/. 
Constant Updates can be 
found at the HOPE Number 6 blog 
(which we actually acknowledge as a "blog") 
http://blog.hopenumbersix.net/. You can make com- 
ments, suggestions, add pages in your favorite 
language, and interact with the HOPE coordi- 
nators, and attendees on the HOPE Number 6 
wiki: http://wiki.hopenumbersix.net/Main_Page 

More information about the PallTech Semi- 
nar to be held during hope can be found here: 
http://www.palltechseminars.com/. Registration Infor- 
mation can be found here: http -.//www. hopenumbersix. 
net/ register. html. If you are interested in becoming 
a Speaker at HOPE, please consult the Call for 
Participation page at: http://www.hope.net/cfp.html 
and then write to speakers@2600.com. Infor- 
mation about people wishing to volunteer to 
help, at or before HOPE can be found here: 
http://www.hopenumbersix.net/volunteer.html or send 
an email to volunteers@2600.com 

Those wishing to bring a lot of equipment, a 
project, and art piece, be a vendor, etc., should 
also send an email to volunteers@2600.com, and you 
will be put in touch with an appropriate person 
to find space for you ahead of time. 

So don't miss out. Take the trip and share the 
experiences, the commonalities, the projects, 
and the ambitions of Hackers On Planet Earth. 
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Buchbesprechung: Traveler 

padduun <padduun@bionic.zerberus.de> 

Eine unglaublich neue Idee, verspricht uns die Verlagsankündigung dieses Buches: „Eine 
gigantische Verschwörung bedroht die Welt". Guckemaleineran! 



„Die weltweite Konspiration einer geheimen 
Bruderschaft bedroht die Menschheit und nur 
einige wenige Menschen können das infame 
Komplott noch stoppen." 

So steht es auf der Website des Verlages. Und da 
steht mehr, das neugierig macht: 

„Jede Bewegung wird gefilmt, jedes Telefonat 
abgehört, jede Spur im Internet verfolgt, jeder 
Einkauf registriert - mit Hilfe eines Systems 
der totalen Überwachung versucht eine gehei- 
me Bruderschaft, die Herrschaft über die Welt 
zu gewinnen." 

Na, das ist doch mal spannend. 
Da sind wir doch qua Ehrenamt 
Spezialisten. Stoff für hunder- 
te von Büchern - und endlich 
schreibt mal jemand einen hüb- 
schen Roman, der so richtig zeigt 
wo's langgeht? Leider Fehlanzei- 
ge. Klar hängen hier und da in 
der Story Überwachungskame- 
ras rum, auch implantierte RFID- 
Chips spielen eine Rolle, und 
ein ehemaliger amerikanischer 
Präsidentenberater ist natürlich 
einer der Oberbösen. Aber: Gähn. 
Die Story ist hirnrissig und flach 
wie Ostfriesland: „Nur wenige Menschen, 
Traveler genannt, vermögen die Pläne der Bru- 
derschaft zu durchkreuzen. Denn die Trave- 
ler haben die außergewöhnliche Gabe, in ande- 
re Sphären zu reisen. Und sie stellen sich seit 
jeher schon jedem Versuch entgegen, die Selbst- 
bestimmung und Freiheit der Menschen zu zer- 
stören." Boah! Da gibt's also besonders begab- 
te Gutmenschen. Wo George Lukas den von 
ihm geschaffenen „Macht"-Mythos entmystifi- 




ziert, indem er die „Die Macht" kleine kribbeln- 
de Tierchen im Blut von Jedies sein läßt, haben 
hier die Protagonisten Lichter im Hirn. Nur 
wer von Geburt aus dazu vorbestimmt ist, kann 
was besonderes sein, bei den anderen reichts 
höchstens zum ergebenen Jünger: „Die Brü- 
der Michael und Gabriel Corrigan sind, ohne es 
zu wissen, die letzten Nachkommen der Trave- 
ler. Von den Schergen der Bruderschaft gejagt, 
scheinen sie kaum eine Chance zu haben, deren 
Machtergreifung noch zu verhindern. Wäre da 
nicht Maya, die Nachfahrin einer Kriegerkas- 
te, die ihr Leben dem Schwertkampf und dem 
Schutz der Traveler geweiht hat. 
Es liegt allein in ihrer Hand, die 
letzten Traveler vor den Nachstel- 
lungen der Bruderschaft zu ret- 
ten, bevor die Freiheit den Men- 
| i^K** sehen für immer verloren geht." 

Achja, Schwerter, das ist immer 
cool. Nagut, das WAR mal cool. 
Seit Hiro Protagonist, Pulp Fic- 
tion und Kill Bill ist es bloß noch 
blöde. Und der Rest der Ideen 
nebst Buch ist keinen Deut bes- 
ser. Der Autor? In Wikipedia 
steht Stub (eigentlich sollte da 
gleich ein Löschantrag folgen): 
„John Twelve Hawks is the mys- 
terious author of the 2005 anti- 
state novel entitled The Traveler." Aha. Klingt 
verdächtig autoreferenziell. Und weiter: 

„His publishers claim that he is, indeed, a real 
first-time author, and that he contacts the pub- 
lishers using an untraceable satellite phone. Not 
much is known about him except what he him- 
self states. In the beginning of the audiobook 
version of The Traveler, a garbled, electronic 
voice states, "This is John Twelve Hawks," and 
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later, after some introduction to why he wrote 
the book, he states, "I live off the grid." That 
last Statement basically sums up what is known 
about this author." Na toll. Kindergarten spielt 
Überwachungsstaat aus- 
tricksen. 



Wenn schon Bücher zum 
Überwachungsthema, 
dann bitte eins, das klar- 
macht, warum jede und 
jeder von Überwachung 
betroffen ist. Ein Buch, 



John Twelve Hawks 

Traveler, Roman ( Originaltitel: The Traveler 
- The Fourth Realm) 



Gebundenes Buch, 544 Seiten, 13,5 > 
ISBN-10: 3-442-20300-7 



das geheimnisvolle Bruderschaften (hier mit 
den üblichen Anleihen bei den Illuminaten) 
die absolute Macht erringen lassen will, muß 
mehr bieten, als Mystik, glückliche Zufälle und 
ein Minimumwissen über 
Über wachungs strukturen 
und deren Netze. 




Fazit: Das Buch ist „out of 
the grid". Durchs Raster 
gefallen. Kürzer: Durchge- 
fallen. 



Buchbesprechung: ePass - der 
neue biometrische Reisepaß 



von Thalunil <thalunil@kallisti.de> 



Der aktuell ausgestellte Reisepaß in der BRD 
beinhaltet als erstes biometrisches Merkmal 
das Gesichtsbild in digitaler Form, und in naher 
Zukunft (Anfang 2007) soll auch der Finger- 
abdruck folgen. Dies ist das Ergebnis der deut- 
schen Umsetzung der EU-Rats-Entscheidung 
zur Integration von biometrischen Merkmalen 
in Reisedokumenten vom 13.12.2004. 

Jöran Beel und Bela Gipp beschäftigen sich in 
ihrem Sachbuch zum Thema „elektronischer 
Reisepass" mit der Funktionsweise des Reise- 
paß, biometrischen Merkmalen, Schutzmecha- 
nismen des ePass, Umgehungssicherheit des 
Reisepaß sowie der Frage nach den Gründen 
der Einbindung biometrischer Merkmale. 

Das Kapitel „Umgehungssicherheit" wurde mit 
Referenz und in Zusammenarbeit mit dem club- 
eigenen Kompetenzzentrum für biometrische 

Angele- 
genheiten 

ePass - der neue biometrische Reisepaß erarbei- 
tet. 





Der den Bedenken- 
trägern gewidmete 
Abschnitt beinhaltet 
Zuverlässigkeitsaspekte, 
RFID-Tag-Funkmanipu- 
lation sowie kryptogra- 
phische Sicherheit des 
Systems. 

Das Paßbild wird mit- 
tels sogenanntem Basic 
Access Control-Sche- 
ma (BAC) gesichert. Die 

Kenntnis der Behördenkennzahl (BKZ) geht 
sehr zu Lasten dieses Sicherheitsschemas. Eine 
gesammelte Liste von BKZ's befindet sich im 
Aufbau, und gute 10% des Zahlenraums sind 
bereits gelistet. Die geplante Länder-"Public 
Key Infrastructure" (Länder-PKI), welche zur 
wechselseitigen Authorisation (Extendes Access 
Control) der Biometriemerkmale gegenüber den 
Auslesegeräten angedacht ist, wird ebenso aus- 
führlich behandelt. 

Die rund 100 Seiten sind interessant geschrie- 
ben und bieten auch dem Laien einen Einblick 
in den neuen Reisepaß. 
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Erfa- Kreise / Chaostreffs 

Bielefeld im AJZ, Heeper Str. 132, mittwochs ab 20 Uhr http://bielefeld.ccc.de/ :: info@bielefeld.ccc.de 

Berlin, CCCB e.V. (Club Discordia) Marienstr. 11, (Briefe: CCCB, Postfach 64 02 36, D-10048 Berlin), 

donnerstags ab 17 Uhr http://berlin.ccc.de/ :: mail@berlin.ccc.de 

Dresden, C3D2/Netzbiotop e.V., Lingnerallee 3, 01069 Dresden 

dienstag ab ic)Uhr http://dresden.ccc.de/ :: mail@c3d2.de 

Düsseldorf, CCC D/Chaosdorf e.V. Fürstenwall 232, 

dienstags ab 19 Uhr http://duesseldorf.ccc.de/ :: mail@duesseldorf.ccc.de 

Erlangen/Nürnberg/Fürth, BitsnBugs e.V. "E-Werk", Fuchsenwiese 1, Gruppenraum 5 

dienstags ab 19 Uhr http://erlangen.ccc.de/ :: mail@erlangen.ccc.de 

Hamburg (die Dezentrale) Lokstedter Weg 72 

2. bis 5. Dienstag im Monat ab etwa 20 Uhr http://hamburg.ccc.de/ :: mail@hamburg.ccc.de 

Hannover, Leitstelle5ii Kulturcafe, Schaufelder Str. 30, Hannover 

2. Mittwoch im Monat ab 20 Uhr https://hannover.ccc.de/ 

Karlsruhe, Entropia e.V. Gewerbehof, Steinstr. 23 

sonntags ab 19:30 Uhr http://www.entropia.de/ :: info@entropia.de 

Kassel Uni Kassel, Wilhelmshöher Allee 71-73 (Ing.-Schule) 

1. Mittwoch im Monat ab 18 Uhr http://kassel.ccc.de/ 

Köln, Chaos Computer Club Cologne (C4) e.V. Chaoslabor, Vogelsanger Str. 286 
Letzter Donnerstag im Monat ab 19:30 Uhr http://koeln.ccc.de/ :: mail@koeln.ccc.de 
München, muCCC e.V. Kellerräume in der Blutenburgstr. 17 

2. Dienstag im Monat ab 19:30 Uhr http://www.muc.ccc.de/ 

Ulm Cafe Einstein an der Uni Ulm, montags ab 19:30 Uhr http://ulm.ccc.de/ :: mail@ulm.ccc.de 
Wien, chaosnahe gruppe wien Kaeuzchen, 1070 Wien, Gardegasse (Ecke Neustiftgasse) 
Alle zwei Wochen, Termine auf Webseite http://www.cngw.org/ 

Aus Platzgründen können wir die Details aller Chaostreffs hier nicht abdrucken. Es gibt aber in den folgenden Städten 
Chaostreffs mit Detailinformationen unter http://www.ccc.de/regional/: Aachen, Aargau, Augsburg, Bad Waldsee, Basel, Bochum, Brugg, 
Darmstadt, Dortmund, Dresden, Frankfurt am Main, Freiburg im Breisgau, Gießen/Marburg, Hanau, Heidelberg, Ilmenau, Kiel, Mainz, Mülheim an 
der Ruhr, Münster/Osnabrück, Offenbach am Main, Paderborn, Regensburg, Stuttgart, Trier, Weimar, Wetzlar, Wuppertal, Würzburg. 



Friends £ Family 

Zur näheren Chaosfamilie zählen wir (und sie sich) die Häcksen (http://www.haecksen.org/), den/der "Verein zur 
Förderung des öffentlichen bewegten und unbewegten Datenverkehrs e.V." - FoeBuD (http://www.foebud.de/), den 
Netzladen e.V. in Bonn (http://www.netzladen.org/) und die c-base Berlin (http://www.c-base.org/). 
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